Partager via

Bulletin de sécurité Microsoft MS03-006 - Critique

La faille dans le Centre d’aide et de support Windows Me peut activer l’exécution du code (812709)

Publication : 26 février 2003

Version : 1.0

Publication initiale : 26 février 2003

Résumé

Qui devez lire ce bulletin : Clients utilisant Microsoft® Windows® Me.

Impact de la vulnérabilité : Exécuter le code de choix de l’attaquant

Évaluation de gravité maximale : Critique

Recommandation : Les clients doivent installer immédiatement le correctif.

Bulletin de l’utilisateur final : une version d’utilisateur final de ce bulletin est disponible à l’adresse https :

Logiciels affectés :

  • Microsoft Windows Me

Informations générales

Détails techniques

Description technique :

Le Centre d’aide et de support fournit une installation centralisée par le biais de laquelle les utilisateurs peuvent obtenir de l’aide sur diverses rubriques. Par exemple, il fournit une documentation produit, une assistance pour déterminer la compatibilité matérielle, l’accès à Windows Update, l’aide en ligne de Microsoft et d’autres assistances. Les utilisateurs et les programmes peuvent exécuter des liens d’URL vers le Centre d’aide et de support à l’aide du préfixe « hcp:// » dans un lien d’URL au lieu de « https:// ».

Une vulnérabilité de sécurité est présente dans la version windows Me du Centre d’aide et de support, et les résultats, car le gestionnaire d’URL pour le préfixe « hcp:// » contient une mémoire tampon non case activée ed.

Un attaquant peut exploiter la vulnérabilité en construisant une URL sur laquelle, lorsqu’un utilisateur clique dessus, exécute le code du choix de l’attaquant dans le contexte de sécurité de l’ordinateur local. L’URL peut être hébergée sur une page web ou envoyée directement à l’utilisateur par e-mail. Dans le scénario web, où un utilisateur a ensuite cliqué sur l’URL hébergée sur un site web, un attaquant peut avoir la possibilité de lire ou de lancer des fichiers déjà présents sur l’ordinateur local. Dans le cas d’une attaque par courrier électronique, si l’utilisateur utilise Outlook Express 6.0 ou Outlook 2002 dans ses configurations par défaut, outlook 98 ou 2000 conjointement avec la mise à jour de sécurité de la messagerie Outlook, une attaque n’a pas pu être automatisée et l’utilisateur doit toujours cliquer sur une URL envoyée par courrier électronique. Toutefois, si l’utilisateur n’utilise pas Outlook Express 6.0 ou Outlook 2002 dans ses configurations par défaut, ou Outlook 98 ou 2000 conjointement avec la mise à jour de sécurité de la messagerie Outlook, l’attaquant peut provoquer une attaque automatiquement sans que l’utilisateur ait à cliquer sur une URL contenue dans un e-mail.

Facteurs d’atténuation :

  • La fonction Centre d’aide et de support n’a pas pu être démarrée automatiquement dans Outlook Express ou Outlook si l’utilisateur exécute Internet Explorer 6.0 Service Pack 1.
  • Pour qu’une attaque réussisse, l’utilisateur doit visiter un site web sous le contrôle de l’attaquant ou recevoir un e-mail HTML de l’attaquant.
  • L’exploitation automatique de la vulnérabilité par un e-mail HTML est bloquée par Outlook Express 6.0 et Outlook 2002 dans leurs configurations par défaut, et par Outlook 98 et 2000 si elle est utilisée conjointement avec la mise à jour de sécurité de la messagerie Outlook.

Évaluation de gravité :
Windows Me Critique

L’évaluation ci-dessus est basée sur les types de systèmes affectés par la vulnérabilité, leurs modèles de déploiement classiques et l’effet que l’exploitation de la vulnérabilité aurait sur eux.

Identificateur de vulnérabilité :CAN-2003-0009

Versions testées :

Microsoft a testé Windows Me et Windows XP pour évaluer s’ils sont affectés par ces vulnérabilités. Les versions précédentes de Windows ne contiennent pas le code en question et ne sont pas affectées par cette vulnérabilité.

Forum aux questions

Quelle est l’étendue de la vulnérabilité ?
Il s’agit d’une vulnérabilité de dépassement de mémoire tampon. Un attaquant qui a réussi à exploiter cette vulnérabilité peut entraîner l’exécution du code de son choix comme s’il provient de l’ordinateur local. Ce code peut fournir à l’attaquant la possibilité d’effectuer une action souhaitée sur l’ordinateur, y compris l’ajout, la suppression ou la modification de données sur le système ou l’exécution d’un code du choix de l’attaquant.

Quelles sont les causes de la vulnérabilité ?
Les résultats de la vulnérabilité en raison d’une mémoire tampon non case activée ed dans le gestionnaire d’URL pour le Centre d’aide et de support.

Qu’est-ce que l’aide etle SupportCenter ?
Le Centre d’aide et de support (HSC) est une fonctionnalité de Windows qui fournit de l’aide sur diverses rubriques. Par exemple, HSC permet aux utilisateurs d’en savoir plus sur les fonctionnalités Windows, de télécharger et d’installer des mises à jour logicielles, de déterminer si un appareil matériel particulier est compatible avec Windows, d’obtenir de l’aide de Microsoft, etc.

Qu’est-ce qui ne va pas avec l’aide etle SupportCenter ?
Le gestionnaire d’URL HSC a une fonction qui permet aux pages d’être ouvertes à l’aide du préfixe « hcp:// ». Toutefois, cette fonction n’case activée pas correctement les paramètres de l’entrée qu’elle reçoit. Par conséquent, une mémoire tampon n’est pas case activée ed et peut permettre à un attaquant de créer une URL qui peut autoriser l’exécution du code.

Qu’est-ce qu’un gestionnaire d’URL ?
Un gestionnaire d’URL permet à une application d’inscrire un nouveau type d’URL qui, lorsqu’elle est appelée par une page web, démarre automatiquement l’application. Par exemple, quand Outlook 2002 est installé sur un système, il inscrit « outlook:// » en tant que gestionnaire d’URL personnalisé. Outlook peut ensuite être appelé en tapant cette URL dans Internet Explorer, dans la zone « Exécuter » ou en cliquant sur un lien hypertexte. Dans le cas du Centre d’aide et de support, le préfixe d’URL personnalisé est « hcp:// ».

Qu’est-ce que cette vulnérabilité peut permettre à un attaquant de faire ?
Cette vulnérabilité peut permettre à un attaquant de provoquer l’exécution du code du choix de l’attaquant avec des privilèges supplémentaires sur le système. Cela peut permettre à l’attaquant d’ajouter, de supprimer ou de modifier des données sur le système ou d’effectuer toute autre action du choix de l’attaquant.

Comment un attaquant pourrait-il exploiter cette vulnérabilité ?
L’attaquant doit construire une page web qui lance une URL spécialement conçue. L’attaque peut ensuite se poursuivre via l’un des deux vecteurs. Dans le premier, l’attaquant peut héberger la page web sur un site web ; lorsqu’un utilisateur a visité le site, la page web tenterait de lancer l’URL et d’exploiter la vulnérabilité. Dans la seconde, l’attaquant peut envoyer la page web en tant que courrier HTML. Lors de l’ouverture par le destinataire, la page web peut tenter d’appeler la fonction et d’exploiter la vulnérabilité. Dans le scénario de messagerie HTML, si l’utilisateur utilise Outlook Express 6.0 ou Outlook 2002 dans ses configurations par défaut, outlook 98 ou 2000 conjointement avec la mise à jour de sécurité de la messagerie Outlook, une attaque n’a pas pu être automatisée et l’utilisateur doit toujours cliquer sur une URL envoyée dans un e-mail. Toutefois, si l’utilisateur n’utilise pas Outlook Express 6.0 ou Outlook 2002 dans ses configurations par défaut, ou Outlook 98 ou 2000 conjointement avec la mise à jour de sécurité de la messagerie Outlook, l’attaquant peut provoquer une attaque automatiquement sans que l’utilisateur ait à cliquer sur une URL contenue dans un e-mail.

Que fait le correctif ?
Le correctif résout la vulnérabilité en corrigeant la mémoire tampon non case activée ed dans le gestionnaire d’URL.

Disponibilité des retouches

Télécharger les emplacements de ce correctif

Informations supplémentaires sur ce correctif

Plateformes d’installation :

Ce correctif peut être installé sur les systèmes exécutant Windows Me Gold

Redémarrage nécessaire : Oui

Le correctif peut être désinstallé : Non

Correctifs remplacés : Aucun.

Vérification de l’installation des correctifs :

  • Pour vérifier que le correctif a été installé sur l’ordinateur, utilisez l’outil Qfe case activée.exe et vérifiez que l’affichage inclut les informations suivantes :

    mise à jour UPD812709 Windows Me Q812709

    Pour vérifier les fichiers individuels, consultez le manifeste de fichier dans l’article de la Base de connaissances 812709.

Avertissements :

Aucun

Localisation :

Les versions localisées de ce correctif sont disponibles aux emplacements décrits dans « Disponibilité des correctifs ».

Obtention d’autres correctifs de sécurité :

Les correctifs pour d’autres problèmes de sécurité sont disponibles à partir des emplacements suivants :

Informations supplémentaires :

Accusés de réception

Microsoft remercieWarning et Fozzy de The Hackademy pour signaler ce problème à nous et travailler avec nous pour protéger les clients.

Support :

  • L’article de la Base de connaissances Microsoft 812709 traite de ce problème et sera disponible environ 24 heures après la publication de ce bulletin. Vous trouverez les articles de la Base de connaissances sur le site web du support microsoft Online.
  • Le support technique est disponible auprès des services de support technique Microsoft. Il n’y a aucun frais pour les appels de support associés aux correctifs de sécurité.

Ressources de sécurité : Le site web Microsoft TechNet Security fournit des informations supplémentaires sur la sécurité dans les produits Microsoft.

Exclusion de responsabilité :

Les informations fournies dans la Base de connaissances Microsoft sont fournies « telles quelles » sans garantie. Microsoft exclut toutes les garanties, expresses ou implicites, y compris les garanties de marchandabilité et d’adéquation à un usage particulier. En aucun cas, Microsoft Corporation ou ses fournisseurs ne sont responsables de dommages-intérêts, y compris les dommages directs, indirects, accessoires, accessoires, les pertes de bénéfices commerciaux ou les dommages spéciaux, même si Microsoft Corporation ou ses fournisseurs ont été informés de la possibilité de tels dommages- intérêts. Certains États n’autorisent pas l’exclusion ou la limitation de responsabilité pour des dommages indirects ou accessoires afin que la limitation ci-dessus ne s’applique pas.

Révisions:

  • V1.0 (26 février 2003) : Bulletin créé.

Construit à 2014-04-18T13 :49 :36Z-07 :00</https :>

  • Last updated on