2024-03-15

Bulletin de sécurité

Bulletin de sécurité Microsoft MS04-033 - Critique

La vulnérabilité dans Microsoft Excel pourrait autoriser l’exécution de code à distance (886836)

Publication : 12 octobre 2004

Version : 1.0

Émis : 12 octobre 2004
Version : 1.0

La vulnérabilité dans Microsoft Excel pourrait autoriser l’exécution à distance du code

Qui devez lire ce document : Clients qui utilisent Microsoft Excel 2000, Microsoft Excel 2002, Microsoft Excel 2001 pour Mac ou Microsoft Excel v. X pour Mac

Impact de la vulnérabilité : exécution de code à distance

Évaluation de gravité maximale : Critique

Recommandation : les clients doivent appliquer immédiatement la mise à jour.

Remplacement des mises à jour de sécurité : MS03-050

Mises en garde : Aucun

Emplacements de téléchargement des mises à jour logicielles et des mises à jour de sécurité testés :

Logiciels affectés :

Microsoft Bureau 2000 Software Service Pack 3 - Télécharger la mise à jour (Ko 873372)

Microsoft Bureau 2000 Service Pack 3 Software :
- Excel 2000
Microsoft Bureau XP Software Service Pack 2 - Télécharger la mise à jour (Ko 873366)

Microsoft Bureau XP Software :
- Excel 2002
Microsoft Bureau 2001 pour Mac - Télécharger la mise à jour

Microsoft Bureau 2001 pour Mac :
- Excel 2001 pour Mac
Microsoft Bureau v. X pour Mac - Télécharger la mise à jour

Microsoft Bureau v. X pour Mac :
- Excel v. X pour Mac

Logiciels non affectés :

Microsoft Bureau XP Service Pack 3
Microsoft Office Excel 2003
Microsoft Bureau 2003 Service Pack 1
Microsoft Excel 2004 pour Mac

Le logiciel de cette liste a été testé pour déterminer si les versions sont affectées. Les autres versions n’incluent plus la prise en charge des mises à jour de sécurité ou peuvent ne pas être affectées. Pour déterminer le cycle de vie de support de votre produit et de votre version, visitez le site web Support Microsoft cycle de vie suivant.

Informations générales

Résumé

Résumé:

Cette mise à jour résout une vulnérabilité récemment découverte et signalée en privé. Une vulnérabilité d’exécution de code à distance existe dans Microsoft Excel. La vulnérabilité est documentée dans la section Détails des vulnérabilités de ce bulletin.

Si un utilisateur est connecté avec des privilèges d’administration, un attaquant qui a réussi à exploiter cette vulnérabilité peut prendre le contrôle complet d’un système affecté, y compris l’installation de programmes ; affichage, modification ou suppression de données ; ou création de comptes avec des privilèges complets. Les utilisateurs dont les comptes sont configurés pour avoir moins de privilèges sur le système seraient moins risqués que les utilisateurs qui opèrent avec des privilèges d’administration.

Évaluations de gravité et identificateurs de vulnérabilité :

Identificateurs de vulnérabilité	Impact de la vulnérabilité	Bureau 2000 SP3 et Excel 2000	Bureau XP SP2 et Excel 2002	Bureau 2001 pour Mac et Excel 2001 pour Mac	Bureau v. X pour Mac et Excel v. X pour Mac
Vulnérabilité dans Microsoft Excel - CAN-2004-0846	Exécution de code à distance	Critique	Critique	Important	Important

Cette évaluation est basée sur les types de systèmes affectés par la vulnérabilité, leurs modèles de déploiement classiques et l’effet que l’exploitation de la vulnérabilité aurait sur eux.

Quelles mises à jour cette version remplace-t-elle ?
Cette mise à jour de sécurité remplace plusieurs bulletins de sécurité antérieurs. Les ID de bulletin de sécurité et les systèmes d’exploitation affectés sont répertoriés dans le tableau suivant.

ID de bulletin	Bureau 2000 SP3 et Excel 2000	Bureau XP SP2 et Excel 2002	Bureau 2001 pour Mac et Excel 2001 pour Mac	Bureau v. X pour Mac et Excel v. X pour Mac
MS03-050	Replaced	Replaced	Non applicable	Non applicable

Puis-je utiliser Microsoft Baseline Security Analyzer (Mo SA) pour déterminer si cette mise à jour est requise ? Mo SA signale les logiciels pris en charge par l’outil d’inventaire Bureau pour les analyses d’ordinateurs locaux. Pour plus d’informations sur la façon dont Mo SA détecte les mises à jour Bureau, visitez le site web suivant. Mo SA ne peut pas utiliser l’outil de détection Bureau pour analyser les systèmes distants ; il utilise uniquement cet outil pour analyser un système localement pour les mises à jour de sécurité requises. Pour plus d’informations sur Mo SA, visitez le site web Mo SA.

Puis-je utiliser Systems Management Server (SMS) pour déterminer si cette mise à jour est requise ?
Oui. SMS peut vous aider à détecter et déployer cette mise à jour de sécurité. Pour plus d’informations sur SMS, visitez le site web SMS.

Détails de la vulnérabilité

Vulnérabilité Excel - CAN-2004-0846 :

Une vulnérabilité d’exécution de code à distance existe dans Excel. Si un utilisateur est connecté avec des privilèges d’administration, un attaquant qui a réussi à exploiter cette vulnérabilité peut prendre le contrôle total du système concerné.

Atténuation des facteurs de vulnérabilité Excel - CAN-2004-0846

Dans un scénario d’attaque web, un attaquant doit héberger un site Web qui contient une page Web utilisée pour exploiter cette vulnérabilité. Un attaquant n’aurait aucun moyen de forcer les utilisateurs à visiter un site Web malveillant. Au lieu de cela, un attaquant devra les persuader de visiter le site Web, généralement en les obtenant pour cliquer sur un lien qui les amène au site de l’attaquant. À ce stade, un utilisateur peut être exploité.
Un attaquant qui a réussi à exploiter cette vulnérabilité peut obtenir les mêmes privilèges que l’utilisateur. Les utilisateurs dont les comptes sont configurés pour avoir moins de privilèges sur le système seraient moins risqués que les utilisateurs qui opèrent avec des privilèges d’administration.
La vulnérabilité ne peut pas être exploitée automatiquement par e-mail. Pour qu’une attaque réussisse par e-mail, un utilisateur doit ouvrir une pièce jointe envoyée dans un message électronique.
Excel 2001 pour les utilisateurs mac et Excel v. Les utilisateurs X pour Mac sont invités à télécharger un fichier Excel avant de l’ouvrir. Par conséquent, un utilisateur peut ne pas être exploité par un attaquant lors d’une visite initiale d’un site web.
Bureau XP Service Pack 3 n’est pas affecté par cette vulnérabilité.
Bureau 2003 et Bureau 2003 Service Pack 1 ne sont pas affectés par cette vulnérabilité.
Excel 2004 pour Mac n’est pas affecté par cette vulnérabilité.

Solutions de contournement pour la vulnérabilité Excel - CAN-2004-0846

Aucune.

FAQ sur la vulnérabilité Excel - CAN-2004-0846 :

Quelle est l’étendue de la vulnérabilité ?
Il s’agit d’une vulnérabilité d’exécution de code à distance. Si un utilisateur est connecté avec des privilèges d’administration, un attaquant qui a réussi à exploiter cette vulnérabilité peut prendre le contrôle complet d’un système affecté, y compris l’installation de programmes ; affichage, modification ou suppression de données ; ou création de comptes avec des privilèges complets. Les utilisateurs dont les comptes sont configurés pour avoir moins de privilèges sur le système seraient moins risqués que les utilisateurs qui opèrent avec des privilèges d’administration.

Comment un attaquant pourrait-il exploiter la vulnérabilité ?
Un attaquant peut héberger un fichier Excel malveillant sur un site web et persuader un utilisateur de cliquer sur un lien vers le fichier. Le fichier peut ensuite être exécuté, ce qui permet à l’attaquant d’exécuter le code de son choix. Un attaquant peut également tenter d’exploiter la vulnérabilité en envoyant un fichier spécialement conçu par e-mail.

Quels systèmes sont principalement exposés à la vulnérabilité ?
Les stations de travail et les serveurs terminal sont principalement à risque. Les serveurs ne sont à risque que si les utilisateurs qui n’ont pas suffisamment d’informations d’identification administratives ont la possibilité de se connecter aux serveurs et d’exécuter des programmes. Toutefois, les meilleures pratiques découragent fortement cette autorisation.

Toutes les versions de Bureau et Excel sont-elles affectées par cette vulnérabilité ?
Non. Bureau XP Service Pack 3, Bureau 2003 et Excel 2003, Bureau 2003 Service Pack 1 et Excel 2004 pour Mac ne sont pas affectés.

Quand ce bulletin de sécurité a été émis, cette vulnérabilité a-t-elle été divulguée publiquement ?
Non. Microsoft a reçu des informations sur cette vulnérabilité par le biais d’une divulgation responsable.

Que fait la mise à jour ?
Le correctif supprime la vulnérabilité en veillant à ce qu’Excel valide correctement les paramètres lorsqu’il ouvre un fichier Excel.

Informations sur les mises à jour de sécurité

Plateformes d’installation et conditions préalables :

Pour plus d’informations sur la mise à jour de sécurité spécifique pour votre plateforme, cliquez sur le lien approprié :

Bureau XP et Excel 2002

Prérequis et détails de mise à jour supplémentaires

Important avant d’installer cette mise à jour, vérifiez que les conditions suivantes ont été remplies :

Microsoft Windows Installer 2.0 doit être installé. Microsoft Windows Server 2003, Windows XP et Microsoft Windows 2000 Service Pack 2 (SP2) incluent Windows Installer 2.0 ou version ultérieure. Pour installer la dernière version de Windows Installer, visitez l’un des sites Web Microsoft suivants :

Windows Installer 2.0 pour Windows 95, Windows 98, Windows 98 SE et Windows Millennium Edition

Windows Installer 2.0 pour Windows 2000 et Windows NT 4.0

Pour plus d’informations sur la façon de déterminer la version de Bureau XP sur votre ordinateur, consultez l’article de la Base de connaissances Microsoft 291331.

Inclusion dans les Service Packs futurs :

Le correctif pour ce problème se trouve dans Bureau XP Service Pack 3

Configuration requise pour le redémarrage

Aucun redémarrage n'est requis.

Informations de suppression

Après avoir installé la mise à jour, vous ne pouvez pas la supprimer. Pour revenir à une installation avant l’installation de la mise à jour, vous devez supprimer le logiciel, puis l’installer à nouveau à partir du CD-ROM d’origine.

Informations d’installation automatisée du client

Bureau Mettre à jour le site web

Nous vous recommandons d’installer les mises à jour du client Bureau XP à l’aide du site web Bureau Update. Le site web Bureau Update détecte votre installation particulière et vous invite à installer exactement ce que vous devez avoir à vérifier que votre installation est entièrement à jour.

Pour que le site web Bureau Update détecte les mises à jour requises que vous devez installer sur votre ordinateur, visitez le site web Bureau Mettre à jour, puis cliquez sur Rechercher Mises à jour. Une fois la détection terminée, le site affiche la liste des mises à jour recommandées pour votre approbation. Cliquez sur Démarrer l’installation pour terminer le processus.

Informations d’installation manuelle du client

Pour plus d’informations sur l’installation manuelle de cette mise à jour, consultez la section suivante.

Informations d’installation

La mise à jour de sécurité prend en charge les commutateurs d’installation suivants :

/Q Spécifie le mode silencieux ou supprime les invites lorsque des fichiers sont extraits.

/Q :U Spécifie le mode silencieux utilisateur, qui présente certaines boîtes de dialogue à l’utilisateur.

/Q :A spécifie le mode silencieux administrateur, qui ne présente aucune boîte de dialogue à l’utilisateur.

/T : <chemin d’accès> complet Spécifie le dossier cible pour l’extraction de fichiers.

/C extrait les fichiers sans les installer. Si le chemin /T : n’est pas spécifié, vous êtes invité à entrer un dossier cible.

/C : <Cmd> Remplacer la commande Install définie par l’auteur. Spécifie le chemin d’accès et le nom du fichier .inf ou .exe d’installation.

/R :N Ne redémarre jamais l’ordinateur après l’installation.

/R :I invite l’utilisateur à redémarrer l’ordinateur si un redémarrage est requis, sauf lorsqu’il est utilisé avec /Q :A.

/R :A redémarre toujours l’ordinateur après l’installation.

/R :S redémarre l’ordinateur après l’installation sans inviter l’utilisateur.

/N :V Aucune version case activée ing : installez le programme sur n’importe quelle version précédente.

Notez que ces commutateurs ne fonctionnent pas nécessairement avec toutes les mises à jour. Si un commutateur n’est pas disponible, cette fonctionnalité est nécessaire pour l’installation correcte de la mise à jour. En outre, l’utilisation du commutateur /N :V n’est pas prise en charge et peut entraîner un système inbootable. Si l’installation échoue, vous devez consulter votre professionnel du support technique pour comprendre pourquoi elle n’a pas pu être installée.

Pour plus d’informations sur les commutateurs d’installation pris en charge, consultez l’article 197147 de la Base de connaissances Microsoft.

Informations sur le déploiement du client

Téléchargez la version cliente de cette mise à jour de sécurité.
Cliquez sur Enregistrer ce programme sur le disque, puis sur OK.
Cliquez sur Enregistrer.
À l’aide de l’Explorateur Windows, recherchez le dossier qui contient le fichier enregistré, puis double-cliquez sur le fichier enregistré.
Si vous êtes invité à installer la mise à jour, cliquez sur Oui.
Cliquez sur Oui pour accepter le contrat de licence.
Insérez votre CD-ROM source d’origine si vous y êtes invité, puis cliquez sur OK.
Lorsque vous recevez un message indiquant que l’installation a réussi, cliquez sur OK.

Notez que si la mise à jour de sécurité est déjà installée sur votre ordinateur, vous recevez le message d’erreur suivant : cette mise à jour a déjà été appliquée ou est incluse dans une mise à jour qui a déjà été appliquée.

Informations sur le fichier d’installation du client

La version anglaise de cette mise à jour comporte les attributs de fichier (ou version ultérieure) répertoriés dans le tableau suivant. Les dates et heures de ces fichiers sont répertoriées en temps universel coordonné (UTC). Lorsque vous affichez les informations du fichier, elle est convertie en heure locale. Pour trouver la différence entre l’heure UTC et l’heure locale, utilisez l’onglet Fuseau horaire dans l’outil Date et Heure dans Panneau de configuration.

Bureau XP SP2 et Excel 2002 :

Date Time Version Size File name
----------------------------------------------------------
05-May-2004 04:47 10.00.6713.0000 9,190,080 Excel.exe

Vérification de l’installation de la mise à jour

Microsoft Baseline Security Analyzer

Pour vérifier qu’une mise à jour de sécurité est installée sur un système affecté, vous pouvez utiliser l’outil Microsoft Baseline Security Analyzer (Mo SA). Cet outil permet aux administrateurs d’analyser les systèmes locaux et distants pour détecter les mises à jour de sécurité manquantes et pour les configurations incorrectes de sécurité courantes. Pour plus d’informations sur Mo SA, visitez le site web Microsoft Baseline Security Analyzer.
Vérification de version de fichier

Notez qu’il existe plusieurs versions de Microsoft Windows, les étapes suivantes peuvent être différentes sur votre ordinateur. Si c’est le cas, consultez la documentation de votre produit pour effectuer ces étapes.
1. Cliquez sur Démarrer, puis sur Rechercher.
2. Dans le volet Résultats de la recherche, cliquez sur Tous les fichiers et dossiers sous Compagnon de recherche.
3. Dans la zone Tout ou partie du nom de fichier, tapez un nom de fichier à partir de la table d’informations de fichier appropriée, puis cliquez sur Rechercher.
4. Dans la liste des fichiers, cliquez avec le bouton droit sur un nom de fichier à partir de la table d’informations de fichier appropriée, puis cliquez sur Propriétés.
  
  Notez que , selon la version du système d’exploitation ou des programmes installés, certains fichiers répertoriés dans la table d’informations de fichier peuvent ne pas être installés.
5. Sous l’onglet Version , déterminez la version du fichier installé sur votre ordinateur en la comparant à la version documentée dans la table d’informations de fichier appropriée.
Notez que les attributs autres que la version du fichier peuvent changer pendant l’installation. La comparaison d’autres attributs de fichier aux informations de la table d’informations de fichier n’est pas une méthode prise en charge pour vérifier l’installation de la mise à jour. En outre, dans certains cas, les fichiers peuvent être renommés lors de l’installation. Si les informations de fichier ou de version ne sont pas présentes, utilisez l’une des autres méthodes disponibles pour vérifier l’installation de la mise à jour.

Informations d’installation Administration istrative

Si vous avez installé votre application à partir d’un emplacement de serveur, l’administrateur du serveur doit mettre à jour l’emplacement du serveur avec la mise à jour administrative et déployer cette mise à jour sur votre ordinateur.

Informations d’installation

Les commutateurs d’installation suivants sont pertinents pour les installations administratives, car ils permettent à un administrateur de personnaliser la façon dont les fichiers sont extraits à partir de la mise à jour de sécurité :

/? Affiche les options de ligne de commande

/Q Spécifie le mode silencieux ou supprime les invites lorsque des fichiers sont extraits.

/T : <chemin d’accès> complet Spécifie le dossier cible pour l’extraction de fichiers.

/C extrait les fichiers sans les installer. Si le chemin /T : n’est pas spécifié, vous êtes invité à entrer un dossier cible.

/C : <Cmd> Remplacer la commande Install définie par l’auteur. Spécifie le chemin d’accès et le nom du fichier setup .inf ou .exe.

Pour plus d’informations sur les commutateurs d’installation pris en charge, consultez l’article 197147 de la Base de connaissances Microsoft.

informations de déploiement Administration istratives

Pour mettre à jour votre installation administrative, procédez comme suit :

Téléchargez la version administrative de cette mise à jour de sécurité.
Cliquez sur Enregistrer ce programme sur le disque, puis sur OK.
Cliquez sur Enregistrer.
À l’aide de l’Explorateur Windows, recherchez le dossier qui contient le fichier enregistré et exécutez la ligne de commande suivante pour extraire le fichier .msp :

[path\name of EXE file] /c /t :C :\Administration Update

Notez que le double-clic sur le fichier .exe n’extrait pas le fichier .msp ; il applique la mise à jour à l’ordinateur local. Pour mettre à jour une image administrative, vous devez d’abord extraire le fichier .msp.
Cliquez sur Oui pour accepter le contrat de licence.
Cliquez sur Oui si vous êtes invité à créer le dossier.
Si vous connaissez la procédure de mise à jour de votre installation administrative, cliquez sur Démarrer, puis sur Exécuter. Tapez la commande suivante dans la zone Ouvrir :

msiexec /a Administration Path\MSI File /p C :\adminUpdate\MSP File SHORTFILENAMES=TRUE

Où Administration chemin d’accès est le chemin d’accès de votre point d’installation d’administration pour votre application (par exemple, C :\Bureau XP), le fichier MSI est le package de base de données .msi de l’application (par exemple, Data1.msi), et le fichier MSP est le nom de la mise à jour administrative (par exemple, SHAREDff.msp).

Notez que vous pouvez ajouter /qb+ à la ligne de commande afin que la boîte de dialogue Installation Administration istrative et la boîte de dialogue Contrat de licence utilisateur final n’apparaissent pas.
Cliquez sur Suivant dans la boîte de dialogue fournie. Ne modifiez pas votre clé CD, l’emplacement d’installation ou le nom de la société dans la boîte de dialogue fournie.
Cliquez sur J’accepte les termes du Contrat de licence, puis cliquez sur Installer.

À ce stade, votre point d’installation administratif est mis à jour. Ensuite, vous devez mettre à jour les stations de travail qui ont été installées à l’origine à partir de cette installation administrative. Pour ce faire, consultez la section Déploiement de station de travail. Toutes les nouvelles installations que vous exécutez à partir de ce point d’installation administratif incluent la mise à jour.

Avertissement Toute station de travail installée à l’origine à partir de cette installation administrative avant d’installer la mise à jour ne peut pas utiliser cette installation administrative pour les actions telles que la réparation de Bureau ou l’ajout de nouvelles fonctionnalités jusqu’à ce que vous effectuez les étapes de la section Déploiement de station de travail pour cette station de travail.

Informations de déploiement de station de travail

Pour déployer la mise à jour sur les stations de travail clientes, cliquez sur Démarrer, puis sur Exécuter. Tapez la commande suivante dans la zone Ouvrir :

msiexec /i Administration Path\MSI File /qb REINSTALL=Feature List REINSTALLMODE=vomu

Où Administration path is the path of your administrative installation point for your application (par exemple, C :\Bureau XP), MSI File is the .msi database package for the application (par exemple, Data1.msi) and Feature List is the list of feature names (case sensitive) that must be réinstalled for the update. Pour installer toutes les fonctionnalités, vous pouvez utiliser REINSTALL=ALL.

Notez que les Administration istrateurs travaillant dans des environnements managés peuvent trouver des ressources complètes pour déployer des mises à jour Bureau dans une organisation sur le centre de mise à jour Bureau Administration. Dans la page d’accueil de ce site, consultez la section Stratégies de mise à jour pour la version logicielle que vous mettez à jour. La documentation windows Installer fournit également des informations supplémentaires sur les paramètres pris en charge par Windows Installer.

informations sur le fichier d’installation Administration istrative

Bureau XP Service Pack 2 et Excel 2002 :

Date Time Version Size File name
----------------------------------------------------------
05-May-2004 04:47 10.00.6713.0000 9,190,080 Excel.exe