Bulletin de sécurité Microsoft MS15-101 - Important

Les vulnérabilités dans .NET Framework peuvent autoriser l’élévation de privilèges (3089662)

Publication : 8 septembre 2015 | Mise à jour : 9 février 2016

Version : 1.2

Résumé

Cette mise à jour de sécurité résout les vulnérabilités dans Microsoft .NET Framework. La plus grave des vulnérabilités peut autoriser l’élévation de privilèges si un utilisateur exécute une application .NET spécialement conçue. Toutefois, dans tous les cas, un attaquant n’aurait aucun moyen de forcer les utilisateurs à exécuter l’application ; un attaquant aurait à convaincre les utilisateurs de le faire.

Cette mise à jour de sécurité est évaluée comme importante pour Microsoft .NET Framework 2.0 Service Pack 2, Microsoft .NET Framework 3.5, Microsoft .NET Framework 3.5.1, Microsoft .NET Framework 4, Microsoft .NET Framework 4.5, Microsoft .NET Framework 4.5.1 et Microsoft .NET Framework 4.5.2 sur les versions affectées de Microsoft Windows. Pour plus d’informations, consultez la section Logiciels affectés.

Les mises à jour de sécurité résolvent les vulnérabilités en corrigeant la façon dont .NET Framework copie les objets en mémoire et en corrigeant la façon dont le .NET Framework gère les requêtes spécialement conçues. Pour plus d’informations sur la vulnérabilité, consultez la sous-section Questions fréquentes (FAQ) sur la vulnérabilité spécifique.

Pour plus d’informations sur cette mise à jour, consultez l’article de la Base de connaissances Microsoft 3089662.

Évaluations de gravité des logiciels et des vulnérabilités affectés

Les versions ou éditions logicielles suivantes sont affectées. Les versions ou éditions qui ne sont pas répertoriées sont passées par leur cycle de vie de support ou ne sont pas affectées. Pour déterminer le cycle de vie de prise en charge de votre version ou édition logicielle, consultez Support Microsoft cycle de vie.

Les évaluations de gravité suivantes supposent l’impact maximal potentiel de la vulnérabilité. Pour plus d’informations sur la probabilité, dans les 30 jours suivant la publication de ce bulletin de sécurité, de l’exploitabilité de la vulnérabilité par rapport à son impact sur la gravité et la sécurité, consultez l’index exploitabilité dans le résumé du bulletin de septembre.

^[1]. Profil client NET Framework 4 et .NET Framework 4 affecté.

^[2]Cette mise à jour est disponible uniquement via Windows Update .

^[3]La mise à jour de Windows 10 est cumulative. En plus de contenir des mises à jour non liées à la sécurité, il contient également tous les correctifs de sécurité pour toutes les vulnérabilités affectées par Windows 10 avec la version de sécurité de ce mois-ci. Consultez l’article de la Base de connaissances Microsoft 3081455 pour plus d’informations et télécharger des liens.

Notez que Windows Server Technical Preview 2 est affecté. Les clients exécutant ce système d’exploitation sont encouragés à appliquer la mise à jour, disponible via Windows Update.

Faq sur la mise à jour

Comment faire déterminer quelle version de Microsoft .NET Framework est installée ?
Vous pouvez installer et exécuter plusieurs versions de .NET Framework sur un système et installer les versions dans n’importe quel ordre. Pour plus d’informations, consultez l’article 318785 de la Base de connaissances Microsoft.

Quelle est la différence entre le profil client .NET Framework 4 et .NET Framework 4 ?
Les packages redistribuables .NET Framework version 4 sont disponibles dans deux profils : .NET Framework 4 et .NET Framework 4 Client Profile. Le profil client .NET Framework 4 est un sous-ensemble du profil .NET Framework 4 optimisé pour les applications clientes. Il fournit des fonctionnalités pour la plupart des applications clientes, notamment windows Presentation Foundation (WPF), Windows Forms, Windows Communication Foundation (WCF) et les fonctionnalités ClickOnce. Cela permet un déploiement plus rapide et un package d’installation plus petit pour les applications qui ciblent le profil client .NET Framework 4. Pour plus d’informations, consultez l’article MSDN, .NET Framework Client Profile. 

Il existe plusieurs packages de mise à jour disponibles pour certains des logiciels affectés. Dois-je installer toutes les mises à jour répertoriées dans la table Software affectée pour le logiciel ?
Oui. Les clients doivent appliquer toutes les mises à jour proposées pour le logiciel installé sur leurs systèmes.

Dois-je installer ces mises à jour de sécurité dans une séquence particulière ?
Non. Plusieurs mises à jour pour un système donné peuvent être appliquées dans n’importe quelle séquence.

Informations sur la vulnérabilité

Vulnérabilité d’élévation de privilèges .NET - CVE-2015-2504

Une vulnérabilité d’élévation de privilèges existe de la façon dont .NET Framework valide le nombre d’objets en mémoire avant de copier ces objets dans un tableau. Un attaquant qui a réussi à exploiter cette vulnérabilité peut prendre le contrôle d’un système affecté. Un attaquant peut alors installer des programmes, afficher, modifier ou supprimer des données, ou créer des comptes avec des droits d’utilisateur complets. Les utilisateurs dont les comptes sont configurés avec des droits restreints sur le système sont moins vulnérables que les utilisateurs qui ont des droits administratifs.

Il existe deux scénarios d’attaque possibles pour exploiter cette vulnérabilité : un scénario de navigation web et un contournement d’application Windows .NET des restrictions de sécurité d’accès au code (CAS). Ces scénarios sont décrits comme suit :

• Scénario d’attaque de navigation web Un attaquant peut héberger un site web spécialement conçu qui contient un XBAP spécialement conçu (application de navigateur XAML) qui pourrait exploiter cette vulnérabilité, puis convaincre un utilisateur d’afficher le site web. L’attaquant peut également tirer parti des sites web et sites web compromis qui acceptent ou hébergent du contenu ou des publicités fournis par l’utilisateur. Toutefois, dans tous les cas, un attaquant n’aurait aucun moyen de forcer les utilisateurs à visiter ces sites web. Au lieu de cela, un attaquant aurait à convaincre les utilisateurs de visiter le site web, généralement en les obtenant pour cliquer sur un lien dans un messager instantané ou un message électronique qui amène les utilisateurs sur le site web de l’attaquant. Il peut également être possible d’afficher du contenu web spécialement conçu à l’aide de bannières publicitaires ou d’autres méthodes pour fournir du contenu web aux systèmes concernés.
• Scénario d’attaque des applications Windows .NET Cette vulnérabilité peut également être utilisée par les applications Windows .NET Framework pour contourner les restrictions de sécurité d’accès au code (CAS).

Il existe deux types de systèmes à risque, qui sont décrits comme suit :

• Dans le scénario de navigation web, l’exploitation réussie de cette vulnérabilité nécessite qu’un utilisateur soit connecté et visite de sites web à l’aide d’un navigateur web capable d’instancier des adresses XBAPs. Par conséquent, tous les systèmes où un navigateur web est utilisé fréquemment, tels que les stations de travail ou les serveurs terminal, sont à risque de cette vulnérabilité. Les serveurs peuvent être plus risqués si les administrateurs autorisent les utilisateurs à parcourir et lire les e-mails sur les serveurs. Toutefois, les meilleures pratiques découragent fortement cette autorisation.
• Les stations de travail et les serveurs des applications Windows .NET qui exécutent des applications Windows .NET Framework non approuvées sont également exposés à cette vulnérabilité.

La mise à jour résout la vulnérabilité en corrigeant la façon dont .NET Framework copie des objets en mémoire. Cette vulnérabilité a été divulguée publiquement. Il a été affecté à la vulnérabilité commune et au numéro d’exposition CVE-2015-2504. Lorsque ce bulletin a été publié à l’origine, Microsoft ne connaissait pas les attaques qui tentent d’exploiter cette vulnérabilité.

Facteurs d’atténuation

Microsoft n’a pas identifié de facteurs d’atténuation pour cette vulnérabilité.

Solutions de contournement

Microsoft n’a identifié aucune solution de contournement pour cette vulnérabilité.

Vulnérabilité de déni de service MVC - CVE-2015-2526

Une vulnérabilité de déni de service existe qui est due au fait que .NET ne parvient pas à gérer correctement certaines demandes spécialement conçues. Un attaquant qui a réussi à exploiter cette vulnérabilité peut envoyer un petit nombre de requêtes spécialement conçues à un serveur ASP.NET, ce qui entraîne une dégradation significative des performances pour provoquer une condition de déni de service.

Un attaquant peut utiliser cette vulnérabilité pour créer une attaque par déni de service et perturber la disponibilité des sites qui utilisent ASP.NET. Les systèmes accessibles sur Internet avec ASP.NET installés sont principalement exposés à cette vulnérabilité. Les sites web internes qui utilisent ASP.NET peuvent également être exposés à cette vulnérabilité. La mise à jour résout la vulnérabilité en corrigeant la façon dont .NET Framework gère les requêtes spécialement conçues.

Microsoft a reçu des informations sur cette vulnérabilité par le biais d’une divulgation coordonnée des vulnérabilités. Lorsque ce bulletin de sécurité a été émis, Microsoft n’avait reçu aucune information pour indiquer que cette vulnérabilité avait été utilisée publiquement pour attaquer les clients.

Facteurs d’atténuation

Microsoft n’a pas identifié de facteurs d’atténuation pour cette vulnérabilité.

Solutions de contournement

Microsoft n’a identifié aucune solution de contournement pour cette vulnérabilité.

Déploiement des mises à jour de sécurité

Pour plus d’informations sur le déploiement des mises à jour de sécurité, consultez l’article de la Base de connaissances Microsoft référencé dans le résumé exécutif.

Remerciements

Microsoft reconnaît les efforts de ceux de la communauté de sécurité qui nous aident à protéger les clients par le biais d’une divulgation coordonnée des vulnérabilités. Pour plus d’informations, consultez accusés de réception.  

Exclusion de responsabilité

Les informations fournies dans la Base de connaissances Microsoft sont fournies « telles quelles » sans garantie. Microsoft exclut toutes les garanties, expresses ou implicites, y compris les garanties de marchandabilité et d’adéquation à un usage particulier. En aucun cas, Microsoft Corporation ou ses fournisseurs ne sont responsables de dommages-intérêts, y compris les dommages directs, indirects, accessoires, accessoires, les pertes de bénéfices commerciaux ou les dommages spéciaux, même si Microsoft Corporation ou ses fournisseurs ont été informés de la possibilité de tels dommages- intérêts. Certains États n’autorisent pas l’exclusion ou la limitation de responsabilité pour des dommages indirects ou accessoires afin que la limitation ci-dessus ne s’applique pas.

Révisions

• V1.0 (8 septembre 2015) : Bulletin publié.
• V1.1 (25 septembre 2015) : Suppression de Windows Server Technical Preview 3 de la note de bas de page du tableau Logiciel affecté, car elle n’est pas affectée par les vulnérabilités décrites dans ce bulletin de sécurité. Il s’agit d’une modification d’information uniquement. Les clients qui ont déjà mis à jour leurs systèmes n’ont pas besoin d’agir.
• V1.2 (9 février 2016) : bulletin révisé pour annoncer une modification de détection pour la mise à jour 3074554 pour .NET Framework 4.6. Il s’agit d’une modification d’information uniquement. Les clients qui ont déjà mis à jour leurs systèmes n’ont pas besoin d’agir.

Page générée 2016-02-04 11 :08-08 :00.