Bulletin de sécurité Microsoft MS15-131 - Critique

  • Article

Mise à jour de sécurité pour Microsoft Office pour résoudre l’exécution de code à distance (3116111)

Publication : 8 décembre 2015 | Mise à jour : 18 décembre 2015

Version : 2.1

Résumé

Cette mise à jour de sécurité résout les vulnérabilités dans Microsoft Office. La plus grave des vulnérabilités pourrait permettre l’exécution de code à distance si un utilisateur ouvre un fichier Microsoft Office spécialement conçu. Un attaquant qui a réussi à exploiter les vulnérabilités peut exécuter du code arbitraire dans le contexte de l’utilisateur actuel. Les clients dont les comptes sont configurés pour avoir moins de droits d’utilisateur sur le système pourraient être moins impactés que ceux qui fonctionnent avec des droits d’utilisateur administratifs.

Pour plus d’informations, consultez la section Logiciels affectés et évaluations de gravité des vulnérabilités .

La mise à jour de sécurité corrige les vulnérabilités en corrigeant la façon dont Office gère les objets en mémoire.

Pour plus d’informations sur les vulnérabilités, consultez la section Informations sur les vulnérabilités .

Pour plus d’informations sur cette mise à jour, consultez l’article de la Base de connaissances Microsoft 3116111. 

Logiciels affectés et évaluations de gravité des vulnérabilités

Les versions ou éditions de logiciels suivantes sont affectées. Les versions ou éditions qui ne sont pas répertoriées ont dépassé leur cycle de vie de support ou ne sont pas affectées. Pour déterminer le cycle de vie de prise en charge de votre version ou édition de logiciel, consultez Support Microsoft Cycle de vie.

Les évaluations de gravité suivantes supposent l’impact maximal potentiel de la vulnérabilité. Pour plus d’informations sur la probabilité, dans les 30 jours suivant la publication de ce bulletin de sécurité, de l’exploitabilité de la vulnérabilité par rapport à son évaluation de gravité et à son impact sur la sécurité, consultez l’index d’exploitabilité dans la synthèse du bulletin de décembre. 

Microsoft Office Software

Évaluation de la gravité des vulnérabilités et impact maximal sur la sécurité par les logiciels affectés
Logiciels affectés Vulnérabilité d’altération de la mémoire Microsoft Office - CVE-2015-6040 Vulnérabilité d’altération de la mémoire Microsoft Office - CVE-2015-6118 Vulnérabilité d’altération de la mémoire Microsoft Office - CVE-2015-6122 Vulnérabilité d’altération de la mémoire Microsoft Office - CVE-2015-6124 Vulnérabilité microsoft Office RCE - CVE-2015-6172 Vulnérabilité d’altération de la mémoire Microsoft Office - CVE-2015-6177 Mises à jour remplacé*
Microsoft Office 2007
Microsoft Office 2007 Service Pack 3 \ (3085549) Non applicable ImportantExécution de code à distance Non applicable Non applicable Non applicable Non applicable 2837610 dans MS15-081
Microsoft Excel 2007 Service Pack 3 \ (3114422) ImportantExécution de code à distance Non applicable ImportantExécution de code à distance Non applicable Non applicable ImportantExécution de code à distance 3101554 dans MS15-116
Microsoft Word 2007 Service Pack 3 \ (3114458) Non applicable Non applicable Non applicable ImportantExécution de code à distance CritiqueExécution de code à distance Non applicable 3085552 dans MS15-116
Microsoft Office 2010
Microsoft Office 2010 Service Pack 2 (éditions 32 bits) \ (3085528) Non applicable ImportantExécution de code à distance Non applicable Non applicable Non applicable Non applicable 2598244 dans MS15-081
Microsoft Office 2010 Service Pack 2 (éditions 64 bits) \ (3085528) Non applicable ImportantExécution de code à distance Non applicable Non applicable Non applicable Non applicable 2598244 dans MS15-081
Microsoft Office 2010 Service Pack 2 (éditions 32 bits) \ (3114403) Non applicable Non applicable Non applicable ImportantExécution de code à distance CritiqueExécution de code à distance Non applicable 3101529 dans MS15-116
Microsoft Office 2010 Service Pack 2 (éditions 64 bits) (3114403) Non applicable Non applicable Non applicable ImportantExécution de code à distance CritiqueExécution de code à distance Non applicable 3101529 dans MS15-116
Microsoft Excel 2010 Service Pack 2 (éditions 32 bits) (3114415) ImportantExécution de code à distance Non applicable ImportantExécution de code à distance Non applicable Non applicable Non applicable 3101543 dans MS15-116
Microsoft Excel 2010 Service Pack 2 (éditions 64 bits) (3114415) ImportantExécution de code à distance Non applicable ImportantExécution de code à distance Non applicable Non applicable Non applicable 3101543 dans MS15-116
Microsoft Word 2010 Service Pack 2 (éditions 32 bits) (3101532) Non applicable Non applicable Non applicable ImportantExécution de code à distance CritiqueExécution de code à distance Non applicable 3055039 dans MS15-081
Microsoft Word 2010 Service Pack 2 (éditions 64 bits) \ (3101532) Non applicable Non applicable Non applicable ImportantExécution de code à distance CritiqueExécution de code à distance Non applicable 3055039 dans MS15-081
Microsoft Office 2013
Microsoft Word 2013 Service Pack 1 (éditions 32 bits) \ (3114342) Non applicable Non applicable Non applicable ImportantExécution de code à distance CritiqueExécution de code à distance Non applicable 3101370 dans MS15-116
Microsoft Word 2013 Service Pack 1 (éditions 64 bits) \ (3114342) Non applicable Non applicable Non applicable ImportantExécution de code à distance CritiqueExécution de code à distance Non applicable 3101370 dans MS15-116
Microsoft Office 2016
Microsoft Word 2016 (édition 32 bits) \ (3114382) Non applicable Non applicable Non applicable Non applicable CritiqueExécution de code à distance Non applicable 3101513 dans MS15-116
Microsoft Word 2016 (édition 64 bits) \ (3114382) Non applicable Non applicable Non applicable Non applicable CritiqueExécution de code à distance Non applicable 3101513 dans MS15-116
Microsoft Office 2013 RT
Microsoft Word 2013 RT Service Pack 1 (3114342)[1] Non applicable Non applicable Non applicable ImportantExécution de code à distance CritiqueExécution de code à distance Non applicable 3101370 dans MS15-116
Microsoft Office pour Mac 2011
Microsoft Excel pour Mac 2011 (3119517)[2] ImportantExécution de code à distance Non applicable ImportantExécution de code à distance Non applicable Non applicable Non applicable 3102924 dans MS15-116
Microsoft Office 2016 pour Mac
Microsoft Excel 2016 pour Mac (3119518)[2] ImportantExécution de code à distance Non applicable Non applicable Non applicable Non applicable Non applicable 3102925 dans MS15-116
Autres logiciels Office
Pack de compatibilité Microsoft Office Service Pack 3 (3114457) Non applicable Non applicable Non applicable ImportantExécution de code à distance CritiqueExécution de code à distance Non applicable 3085551 dans MS15-116
Pack de compatibilité Microsoft Office Service Pack 3 (3114431) ImportantExécution de code à distance Non applicable ImportantExécution de code à distance Non applicable Non applicable ImportantExécution de code à distance 3101558 dans MS15-116
Visionneuse Microsoft Excel (3114433) ImportantExécution de code à distance Non applicable ImportantExécution de code à distance Non applicable Non applicable ImportantExécution de code à distance 3101560 dans MS15-116

[1]Cette mise à jour est disponible via Windows Update. 

[2]Depuis le 10 décembre 2015, la mise à jour 3119518 est disponible pour Microsoft Office 2016 pour Mac et la mise à jour 3119517 est disponible pour Microsoft Office pour Mac 2011. Pour plus d’informations, consultez l’article 3119518 de la Base de connaissances Microsoft et l’article de la Base de connaissances Microsoft 3119517.

*La colonne Mises à jour Remplacé affiche uniquement la dernière mise à jour dans une chaîne de mises à jour remplacées. Pour obtenir une liste complète des mises à jour remplacées, accédez au catalogue Microsoft Update, recherchez le numéro de la base de connaissances de mise à jour, puis affichez les détails de la mise à jour (les informations sur les mises à jour remplacées sont sous l’onglet Détails du package ).

Faq sur la mise à jour

Cette mise à jour contient-elle des modifications supplémentaires liées à la sécurité des fonctionnalités ?
Oui. En plus des mises à jour de sécurité qui corrigent les vulnérabilités décrites dans ce bulletin, Microsoft publie les mises à jour de défense en profondeur suivantes pour Microsoft Office 2007 Service Pack 3 et Microsoft Word Visionneuse :

Logiciels affectés Mises à jour remplacé
Microsoft Office 2007 Service Pack 3\ (3114425) 3101555 dans MS15-116
Visionneuse Microsoft Word\ (3114479) 3101564 dans MS15-116

J’ai Microsoft Word 2010 installé. Pourquoi ne me propose-t-on pas la mise à jour 3114403 ?  
La mise à jour 3114403 s’applique uniquement aux systèmes exécutant des configurations spécifiques de Microsoft Office 2010. La mise à jour ne sera pas proposée pour certaines configurations.

On me propose cette mise à jour pour les logiciels qui n’ont pas été spécifiquement indiqués comme étant affectés dans le tableau Évaluations de gravité des logiciels concernés et des vulnérabilités. Pourquoi cette mise à jour me est-elle proposée ? 
Lorsque les mises à jour concernent le code vulnérable existant dans un composant partagé entre plusieurs produits Microsoft Office ou partagé entre plusieurs versions du même produit Microsoft Office, la mise à jour est considérée comme applicable à tous les produits et versions pris en charge qui contiennent le composant vulnérable.

Par exemple, lorsqu’une mise à jour s’applique aux produits Microsoft Office 2007, seul Microsoft Office 2007 peut être spécifiquement répertorié dans le tableau Logiciels affectés. Toutefois, la mise à jour peut s’appliquer à Microsoft Word 2007, Microsoft Excel 2007, Microsoft Visio 2007, Microsoft Compatibilité Pack, Microsoft Excel Viewer ou tout autre produit Microsoft Office 2007 qui n’est pas spécifiquement répertorié dans le tableau Logiciels concernés.

Par exemple, lorsqu’une mise à jour s’applique aux produits Microsoft Office 2010, seul Microsoft Office 2010 peut être spécifiquement répertorié dans le tableau Logiciels affectés. Toutefois, la mise à jour peut s’appliquer à Microsoft Word 2010, Microsoft Excel 2010, Microsoft Visio 2010, Visionneuse Microsoft Visio ou tout autre produit Microsoft Office 2010 qui n’est pas spécifiquement répertorié dans le tableau Logiciels concernés.

Par exemple, lorsqu’une mise à jour s’applique aux produits Microsoft Office 2013, seul Microsoft Office 2013 peut être spécifiquement répertorié dans le tableau Logiciels affectés. Toutefois, la mise à jour peut s’appliquer à Microsoft Word 2013, Microsoft Excel 2013, Microsoft Visio 2013 ou tout autre produit Microsoft Office 2013 qui n’est pas spécifiquement répertorié dans le tableau Logiciels concernés.

Informations sur la vulnérabilité

Plusieurs vulnérabilités d’altération de la mémoire Microsoft Office

Plusieurs vulnérabilités d’exécution de code à distance existent dans les logiciels Microsoft Office lorsque le logiciel Office ne parvient pas à gérer correctement les objets en mémoire. Un attaquant qui a réussi à exploiter ces vulnérabilités peut exécuter du code arbitraire dans le contexte de l’utilisateur actuel. Si l’utilisateur actuel est connecté avec des droits d’utilisateur administratifs, un attaquant peut prendre le contrôle du système attaqué. Un attaquant peut alors installer des programmes, afficher, modifier ou supprimer des données, ou créer des comptes avec des droits d’utilisateur complets. Les utilisateurs dont les comptes sont configurés avec des droits restreints sur le système sont moins vulnérables que les utilisateurs qui ont des droits administratifs.

L’exploitation de ces vulnérabilités nécessite qu’un utilisateur ouvre un fichier spécialement conçu avec une version affectée du logiciel Microsoft Office. Dans un scénario d’attaque par e-mail, un attaquant peut exploiter les vulnérabilités en envoyant le fichier spécialement conçu à l’utilisateur et en le convainquant d’ouvrir le fichier. Dans un scénario d’attaque web, un attaquant peut héberger un site web (ou tirer parti d’un site web compromis qui accepte ou héberge du contenu fourni par l’utilisateur) qui contient un fichier spécialement conçu pour exploiter les vulnérabilités. Un attaquant n’aurait aucun moyen de forcer les utilisateurs à visiter le site web. Au lieu de cela, un attaquant devrait convaincre les utilisateurs de cliquer sur un lien, généralement par le biais d’un message électronique ou d’un message instantané, puis les convaincre d’ouvrir le fichier spécialement conçu.

La mise à jour de sécurité corrige les vulnérabilités en corrigeant la façon dont Office gère les objets en mémoire.

Les tableaux suivants contiennent des liens vers l’entrée standard pour chaque vulnérabilité de la liste Vulnérabilités et expositions courantes :

Titre de la vulnérabilité Numéro CVE Divulgation publique Exploités
Vulnérabilité d’altération de la mémoire Microsoft Office CVE-2015-6040 Non Non
Vulnérabilité d’altération de la mémoire Microsoft Office CVE-2015-6118 Non Non
Vulnérabilité d’altération de la mémoire Microsoft Office CVE-2015-6122 Non Non
Vulnérabilité d’altération de la mémoire Microsoft Office CVE-2015-6124 Oui Non
Vulnérabilité d’altération de la mémoire Microsoft Office CVE-2015-6177 Non Non

 

Vulnérabilité microsoft Office RCE - CVE-2015-6172

Il existe une vulnérabilité d’exécution de code à distance dans la façon dont Microsoft Outlook analyse les messages électroniques spécialement conçus. Un attaquant qui a réussi à exploiter cette vulnérabilité peut exécuter du code arbitraire en tant qu’utilisateur connecté et prendre le contrôle total du système affecté. Un attaquant peut alors installer des programmes, afficher, modifier ou supprimer des données, ou créer des comptes avec des droits d’utilisateur complets. Les utilisateurs dont les comptes sont configurés avec des droits restreints sur le système sont moins vulnérables que les utilisateurs qui ont des droits administratifs.

Pour exploiter la vulnérabilité, l’utilisateur doit ouvrir ou afficher un aperçu d’un message électronique spécialement conçu avec une version affectée de Microsoft Outlook. Dans un scénario d’attaque par e-mail, un attaquant peut exploiter la vulnérabilité en envoyant un message électronique spécialement conçu à l’utilisateur, puis en convainquant l’utilisateur d’afficher un aperçu ou d’ouvrir l’e-mail.

Les stations de travail et les serveurs terminal server sur lesquels Microsoft Outlook est installé sont à risque de cette vulnérabilité. Les serveurs peuvent être plus à risque si les administrateurs autorisent les utilisateurs à se connecter pour exécuter des programmes. Toutefois, les bonnes pratiques déconseillent fortement d’autoriser cela. La mise à jour corrige la vulnérabilité en corrigeant la façon dont Microsoft Outlook analyse les messages électroniques malveillants spécialement conçus.

Microsoft a reçu des informations sur cette vulnérabilité via la divulgation coordonnée des vulnérabilités. Au moment de la publication de ce bulletin de sécurité, Microsoft n’était pas au courant d’une attaque tentant d’exploiter cette vulnérabilité.

Facteurs atténuants

Microsoft n’a pas identifié de facteurs atténuants pour cette vulnérabilité.

Solutions de contournement

Les solutions de contournement suivantes peuvent être utiles dans votre situation :

  • Désactiver l’aperçu des messages dans Outlook

    • Dans le menu Affichage , pointez sur MessagePrévue, cliquez sur Désactivé , puis vérifiez que toutes les boîtes aux lettres sont désactivées.

    Comment annuler la solution de contournement.

    • Dans le menu Affichage , pointez sur MessagePrévue, puis cliquez sur Activé.
       

  • Désactiver la lecture des messages électroniques Outlook en HTML

    1. Cliquez sur l'onglet Fichier .

    2. Cliquez sur Options.

    3. Cliquez sur TrustCenter, puis sur Paramètres du Centre de gestion de la confidentialité.

    4. Cliquez sur EmailSécurité.

      Sous Lire en tant que texte brut, cochez la case Lire tous les messages standard en texte brut .
        Comment annuler la solution de contournement.

    5. Cliquez sur l'onglet Fichier .

    6. Cliquez sur Options.

    7. Cliquez sur TrustCenter, puis sur Paramètres du Centre de gestion de la confidentialité.

    8. Cliquez sur EmailSécurité.

    9. Sous Lecture en tant que texte brut, sélectionnez Lire tous les messages standard en texte brut.

  • Désactiver le contrôle ActiveX Flash avec le bit d’arrêt Office

    1. Cliquez sur Démarrer, sur Exécuter, dans la zone Ouvrir , tapez Regedit, puis cliquez sur OK.

    2. Accédez à l’emplacement de Registre suivant :

      HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Office\Common\COM Compatibility\

    3. Créez une clé nommée « {D27CDB6E-AE6D-11cf-96B8-444553540000} ».

    4. Sous la nouvelle clé, ajoutez la nouvelle entrée DWORD « Indicateurs de compatibilité ».

    5. Définissez la valeur DWORD sur « 0x00000400 ».

    Comment annuler la solution de contournement.

    1. Cliquez sur Démarrer, sur Exécuter, dans la zone Ouvrir , tapez Regedit, puis cliquez sur OK.

    2. Accédez à l’emplacement de Registre suivant :

      HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Office\Common\COM Compatibility\

    3. Définissez la valeur DWORD « Indicateurs de compatibilité » sur « 0x00000000 ».

Forum aux questions

Quelle est l’étendue de la vulnérabilité ?
Il s’agit d’une vulnérabilité d’exécution de code à distance.

Quelles sont les causes de la vulnérabilité ? 
La vulnérabilité est due à l’absence d’un case activée Microsoft Outlook lors de l’analyse des messages électroniques d’un format spécifique.

Qu’est-ce qu’un attaquant peut utiliser la vulnérabilité pour faire ? 
Un attaquant qui a réussi à exploiter cette vulnérabilité peut exécuter du code arbitraire en tant qu’utilisateur connecté. Si un utilisateur est connecté avec des droits d’utilisateur administratifs, un attaquant peut prendre le contrôle total du système affecté. Un attaquant peut alors installer des programmes, afficher, modifier ou supprimer des données, ou créer des comptes avec des droits d’utilisateur complets. Les utilisateurs dont les comptes sont configurés avec des droits restreints sur le système sont moins vulnérables que les utilisateurs qui ont des droits administratifs.

Comment un attaquant peut-il exploiter la vulnérabilité ? 
Dans un scénario d’attaque par e-mail, un attaquant peut exploiter la vulnérabilité en envoyant un message électronique spécialement conçu à l’utilisateur, puis en convainquant l’utilisateur d’afficher un aperçu ou d’ouvrir l’e-mail. L’exploitation de cette vulnérabilité nécessite qu’un utilisateur ouvre ou affiche un aperçu d’un message électronique spécialement conçu avec une version affectée de Microsoft Outlook

Quels sont les systèmes qui sont les plus exposés à la vulnérabilité ? 
Les systèmes tels que les stations de travail et les serveurs de terminal où Microsoft Outlook est utilisé sont en danger. Les serveurs peuvent être plus à risque si les administrateurs autorisent les utilisateurs à se connecter aux serveurs et à exécuter des programmes. Toutefois, les bonnes pratiques déconseillent fortement d’autoriser cela.

Que fait la mise à jour ? 
La vulnérabilité est corrigée dans Microsoft Outlook en ajoutant un case activée lors de l’analyse des messages électroniques d’un format spécifique.

Déploiement des mises à jour de sécurité

Pour plus d’informations sur le déploiement des mises à jour de sécurité, consultez l’article de la Base de connaissances Microsoft référencé dans le Résumé exécutif.

Remerciements

Microsoft reconnaît les efforts des membres de la communauté de la sécurité qui nous aident à protéger les clients par le biais de la divulgation coordonnée des vulnérabilités. Pour plus d’informations, consultez Accusés de réception. 

Clause d'exclusion de responsabilité

Les informations fournies dans la Base de connaissances Microsoft sont fournies « telles quelles » sans garantie d’aucune sorte. Microsoft rejette toutes les garanties, expresses ou implicites, y compris les garanties de qualité marchande et d’adéquation à un usage particulier. En aucun cas, Microsoft Corporation ou ses fournisseurs ne peuvent être tenus responsables de quelque dommage que ce soit, y compris direct, indirect, accessoire, consécutif, perte de bénéfices commerciaux ou dommages spéciaux, même si Microsoft Corporation ou ses fournisseurs ont été informés de la possibilité de tels dommages. Certains États n’autorisent pas l’exclusion ou la limitation de la responsabilité pour les dommages indirects ou accessoires, de sorte que la limitation ci-dessus peut ne pas s’appliquer.

Révisions

  • V1.0 (8 décembre 2015) : Bulletin publié.
  • V1.1 (9 décembre 2015) : Bulletin révisé pour corriger les status publiquement divulgués et exploités de CVE-2015-6124. Il s’agit d’une modification d’information uniquement. Les clients qui ont correctement installé la mise à jour n’ont pas besoin d’effectuer d’autres actions.
  • V2.0 (10 décembre 2015) : Bulletin révisé pour annoncer que la mise à jour 3119518 est disponible pour Microsoft Office 2016 pour Mac et que la mise à jour 3119517 est disponible pour Microsoft Office pour Mac 2011. Pour plus d’informations, consultez l’article 3119518 de la Base de connaissances Microsoft et l’article de la Base de connaissances Microsoft 3119517.
  • V2.1 (18 décembre 2015) : Bulletin modifié pour corriger les Mises à jour remplacés pour les 3101532 et les 3114342, et pour ajouter une solution de contournement pour CVE-2015-6172. Il s’agit d’une modification d’information uniquement. Les clients qui ont correctement installé les mises à jour n’ont pas besoin d’effectuer d’autres actions.

Page générée 2015-12-18 14:28-08:00.