Bulletins de Sécurité Microsoft Avril 2012 Ramin Barreto – Patrick Chuzel – Philippe Vialle CSS Security EMEA Bruno Sorcelle – Ahmed Neggaz Technical Account.

Présentation au sujet: "Bulletins de Sécurité Microsoft Avril 2012 Ramin Barreto – Patrick Chuzel – Philippe Vialle CSS Security EMEA Bruno Sorcelle – Ahmed Neggaz Technical Account."— Transcription de la présentation:

1 Bulletins de Sécurité Microsoft Avril 2012 Ramin Barreto – Patrick Chuzel – Philippe Vialle CSS Security EMEA Bruno Sorcelle – Ahmed Neggaz Technical Account Manager

2 Bienvenue ! Présentation des bulletins d’Avril 2012 6 Nouveaux bulletins de Sécurité 4 Critique 2 Important Mises à jour Non relatives à la sécurité Informations connexes : Microsoft® Windows® Malicious Software* Removal Tool Autres informations Ressources Questions - Réponses : Envoyez dès maintenant ! * Malicious software (logiciel malveillant)

3 Questions - Réponses À tout moment pendant la présentation, posez vos questions : 1.Ouvrez l’interface et cliquez dans sur l’espace messagerie instantanée 2.Précisez le numéro du Bulletin, entrez votre question

4 BulletinN°ArticleLogicielAffectéComposantAffecté Indice de gravité Priorité de déploiement Max. Exploit Index Rating Révélé publiquem ent MS12-023 2675157 WindowsInternet ExplorerCritique11Non MS12-024 2653956 WindowsWindows AuthenticodeCritique21Non MS12-025 2671605 Windows.NET FrameworkCritique21Non MS12-026 2663860 WindowsUAGImportant33Non MS12-027 2664258 Office, SQL, Biztalk, Commerce Server, FoxPro, VB) Common Controls (MSComCTL)Critique11Oui MS12-028 2639185 OfficeConvertisseur WorksImportant21Non Bulletins de Sécurité d’Avril 2012 1 - Possibilité de code d’exploitation fonctionnel | 2 - Possibilité de code d’exploitation peu fonctionnel | 3 - Faible possibilité de code d’exploitation fonctionnel | * Non concerné Index d’exploitabilité : 1 - Possibilité de code d’exploitation fonctionnel | 2 - Possibilité de code d’exploitation peu fonctionnel | 3 - Faible possibilité de code d’exploitation fonctionnel | * Non concerné

5 MS12-023 : Introduction et indices de gravité NuméroTitre Indice de gravité maximal Produits affectés MS12-023 Mise à jour de sécurité cumulative pour Internet Explorer (2675157) Critique •Internet Explorer 6.0 •Windows XP et Windows Server 2003 •Internet Explorer 7 •Windows XP, Windows Server 2003, Windows Vista et Windows Server 2008 •Internet Explorer 8 •Windows XP, Windows Server 2003, Windows Vista, Windows Server 2008, Windows 7 et Windows Server 2008 R2 •Internet Explorer 9 •Windows Vista, Windows Server 2008, Windows 7 et Windows Server 2008 R2

6 MS12-023 : Mise à jour de sécurité cumulative pour Internet Explorer (2675157) - Critique Vulnérabilité•Vulnérabilités d'exécution de code à distance•CVE-2012-0168 •CVE-2012-0169 •CVE-2012-0170 •CVE-2012-0171 •CVE-2012-0172 Vecteurs d'attaque possibles •Une page web spécialement conçue Impact•Un attaquant qui parviendrait à exploiter cette vulnérabilité pourrait obtenir les mêmes droits que l'utilisateur actuel. Facteurs atténuants•CVE-2012-0168 : L'option « Imprimer la table des liens » n'est pas activée par défaut lorsque vous imprimez depuis Internet Explorer. •Un attaquant qui parviendrait à exploiter ces vulnérabilités pourrait obtenir les mêmes droits que l'utilisateur actuel. •Dans le cas d'une attaque Web, l'attaquant devrait héberger un site Web qui contiendrait une page Web spécialement conçue pour exploiter cette vulnérabilité. •Par défaut, toutes les versions en cours de support de Microsoft Outlook, Microsoft Outlook Express et de Windows Mail ouvrent les messages au format HTML dans la zone Sites sensibles. •Par défaut, Internet Explorer sur Windows Server 2003, Windows Server 2008 et Windows Server 2008 R2 s'exécutent selon un mode restreint appelé Configuration de sécurité renforcée. •CVE-2012-0170 : Internet Explorer 8 et Internet Explorer 9 ne sont pas concernés Contournement•CVE-2012-0168 : Microsoft n'a identifié aucune solution de contournement pour cette vulnérabilité. •Définissez les paramètres des zones Intranet local et Internet sur la valeur « Élevé » afin de bloquer les contrôles ActiveX et Active Scripting dans ces zones •Configurer Internet Explorer de manière à ce qu'il désactive Active Scripting ou à ce qu'il vous avertisse avant de l'exécuter dans la zone de sécurité Intranet local et Internet. Informations complémentaires •Ces vulnérabilités n’ont pas été révélées publiquement avant la publication de ce bulletin. •À la publication de ce bulletin, Nous n'avons pas connaissance d'attaques ou de code d'exploitation

7 MS12-024 : Introduction et indices de gravité NuméroTitre Indice de gravité maximal Produits affectés MS12-024 Une vulnérabilité dans Windows pourrait permettre l'exécution de code à distance (2653956) Critique • Windows XP (Toutes les versions supportées) • Windows Server 2003 (Toutes les versions supportées) • Windows Vista (Toutes les versions supportées) • Windows Server 2008 (Toutes les versions supportées) • Windows 7 (Toutes les versions supportées) • Windows Server 2008 R2 (Toutes les versions supportées)

8 MS12-024 : Une vulnérabilité dans Windows pourrait permettre l'exécution de code à distance (2653956) - Critique Vulnérabilité•Vulnérabilité d'exécution de code à distance•CVE-2012-0151 Vecteurs d'attaque possibles •Un fichier PE (portable executable) signé spécialement conçu Impact•Si un utilisateur a ouvert une session avec des privilèges d'administrateur, un attaquant qui parviendrait à exploiter cette vulnérabilité pourrait prendre le contrôle intégral d'un système affecté. Facteurs atténuants•Microsoft n'a identifié aucun facteur atténuant pour cette vulnérabilité. Contournement•Microsoft n'a identifié aucune solution de contournement pour ces vulnérabilités. Informations complémentaires •Cette vulnérabilité n’a pas été révélée publiquement avant la publication de ce bulletin. •À la publication de ce bulletin, nous n'avons pas connaissance d'attaques ou de code d'exploitation.

9 MS12-025 : Introduction et indices de gravité NuméroTitre Indice de gravité maximal Produits affectés MS12-025 Une vulnérabilité dans.NET Framework pourrait permettre l'exécution de code à distance (2671605) Critique •.NET Framework 1.0 SP3 •.NET Framework 1.1 SP1 •.NET Framework 2.0 SP2 •.NET Framework 3.5.1 •.NET Framework 4.0

10 MS12-025 : Une vulnérabilité dans.NET Framework pourrait permettre l'exécution de code à distance (2671605) - Critique Vulnérabilité•Vulnérabilité d'exécution de code à distance•CVE-2012-0163 Vecteurs d'attaque possibles •Un site Web spécialement conçu contenant une XBAP (application du navigateur XAML) spécialement conçue •Une application ASP.NET spécialement conçue •Une application Windows.NET spécialement conçue Impact•Un attaquant qui parviendrait à exploiter cette vulnérabilité pourrait exécuter du code arbitraire dans le contexte de l'utilisateur connecté ou du compte utilisateur ASP.NET. Facteurs atténuants•Dans le cas d'une attaque Web, l'attaquant devrait héberger un site Web qui contiendrait une page Web spécialement conçue pour exploiter cette vulnérabilité. •Par défaut, Internet Explorer sur Windows Server 2003, Windows Server 2008 et Windows Server 2008 R2 s'exécutent selon un mode restreint appelé Configuration de sécurité renforcée. •Un attaquant ayant exploité avec succès cette vulnérabilité peut obtenir des droits d'utilisateur identiques à ceux de l'utilisateur local ou du compte d'utilisateur ASP.NET. •Dans un scénario d'hébergement Web, un attaquant doit posséder l'autorisation de téléchargement de pages ASP.NET arbitraires vers un site Web et ASP.NET doit être installé sur ce serveur Web. Dans la configuration par défaut, un utilisateur anonyme ne peut pas télécharger et exécuter du code Microsoft.NET sur un serveur Internet Information Server (IIS). •Les applications standard.NET Framework ne sont pas concernées par cette vulnérabilité. Seules les applications.NET Framework spécialement conçues pourraient exploiter cette vulnérabilité. Contournement•Désactiver les applications du navigateur XAML dans Internet Explorer Informations complémentaires •Cette vulnérabilité n’a pas été révélée publiquement avant la publication de ce bulletin. •À la publication de ce bulletin, Nous n'avons pas connaissance d'attaques ou de code d'exploitation.

11 MS12-026 : Introduction et indices de gravité NuméroTitre Indice de gravité maximal Produits affectés MS12-026 Des vulnérabilités dans Forefront Unified Access Gateway (UAG) pourraient permettre la divulgation d'informations (2663860) Important • Microsoft Forefront Unified Access Gateway 2010 Service Pack 1 • Microsoft Forefront Unified Access Gateway 2010 Service Pack 1 Update 1

12 MS12-026 : Des vulnérabilités dans Forefront Unified Access Gateway (UAG) pourraient permettre la divulgation d'informations (2663860) - Important Vulnérabilité•Vulnérabilité d'usurpation de contenu •Vulnérabilité de divulgation d'informations •CVE-2012-0146 •CVE-2012-0147 Vecteurs d'attaque possibles •Une URL spécialement conçue qui redirigerait le navigateur de l'utilisateur vers un site Web malveillant •Une requête HTTPS spécialement conçue envoyée au serveur UAG Impact•Un attaquant pourrait rediriger les utilisateurs UAG authentifiés vers une page Web malveillante et les inciter à entrer des noms d'utilisateur, mots de passe ou autres informations privées. •Un attaquant qui parviendrait à exploiter cette vulnérabilité pourrait afficher des ressources sécurisées sur le serveur Facteurs atténuants•L'attaquant n'aurait aucun moyen de forcer l'utilisateur à visiter un site Web malveillant •CVE-2012-0147 : Microsoft n'a identifié aucun facteur atténuant pour cette vulnérabilité. Contournement•Microsoft n'a identifié aucune solution de contournement pour ces vulnérabilités Informations complémentaires •Ces vulnérabilités n’ont pas été révélées publiquement avant la publication de ce bulletin. •À la publication de ce bulletin, Nous n'avons pas connaissance d'attaques ou de code d'exploitation.

13 MS12-027 : Introduction et indices de gravité NuméroTitre Indice de gravité maximal Produits affectés MS12-027 Une vulnérabilité dans les contrôles communs de Windows pourrait permettre l'exécution de code à distance (2664258) Critique • Office 2003 SP3 • Office 2007 SP2 et SP3 • Office 2010 RTM et SP1 (x86) • SQL Server 2000 SP4 • SQL Server 2005 SP4 • SQL Server 2008 SP2 et SP3 • SQL Server 2008 R2 • Biztalk Server 2002 SP1 • Commerce Server 2002 SP4 • Commerce Server 2007 SP2 • Commerce Server 2009 • Commerce Server 2009 R2 • Visual FoxPro 8.0 SP1 • Visual FoxPro 9.0 SP2 • VB6 Runtime

14 MS12-027 : Une vulnérabilité dans les contrôles communs de Windows pourrait permettre l'exécution de code à distance (2664258) - Critique Vulnérabilité•Vulnérabilité d'exécution de code à distance•CVE-2012-0158 Vecteurs d'attaque possibles •Un site Web spécialement conçu •Un fichier Office et/ou WordPad spécialement conçu Impact•Un attaquant parvenant à exploiter cette vulnérabilité pourrait obtenir les mêmes droits que l'utilisateur connecté. Facteurs atténuants•Dans le cas d'une attaque Web, l'attaquant n'aurait aucun moyen de forcer l'utilisateur à visiter ces sites Web. •L'attaquant devrait convaincre l'utilisateur d'ouvrir la pièce jointe afin de pouvoir exploiter cette vulnérabilité. •Tout attaquant parvenant à exploiter cette vulnérabilité pourrait obtenir les mêmes droits que l'utilisateur. Contournement•Ne pas ouvrir de documents Microsoft Office et WordPad provenant de sources non fiables •Empêcher l'exécution des contrôles ActiveX vulnérables dans Internet Explorer (MSCOMCTL.TreeView, MSCOMCTL.ListView2, MSCOMCTL.TreeView2 et MSCOMCTL.ListView) Informations complémentaires •Cette vulnérabilité n’a pas été révélée publiquement avant la publication de ce bulletin •Nous avons connaissance d'attaques limitées et ciblées visant à exploiter cette vulnérabilité.

15 MS12-028 : Introduction et indices de gravité NuméroTitre Indice de gravité maximal Produits affectés MS12-028 Une vulnérabilité dans Microsoft Office pourrait permettre l'exécution de code à distance (2639185) Important •Office 2007 SP2 •Works 9 •Convertisseur de fichier Microsoft Works 6–9

16 MS12-028 : Une vulnérabilité dans Microsoft Office pourrait permettre l'exécution de code à distance (2639185) - Important Vulnérabilité•Vulnérabilité d’exécution de code à distance•CVE-2012-0177 Vecteurs d'attaque possibles •Un fichier.WPS spécialement conçu Impact•Un attaquant qui parviendrait à exploiter cette vulnérabilité pourrait obtenir les mêmes droits que l'utilisateur actuel. Facteurs atténuants•Dans le cas d'une attaque Web, l'attaquant n'aurait aucun moyen de forcer l'utilisateur à visiter ces sites Web. •Un attaquant parvenant à exploiter cette vulnérabilité pourrait obtenir les mêmes droits que l'utilisateur connecté. •Cette vulnérabilité ne peut pas être exploitée automatiquement par le biais de messages électroniques. Pour qu'une attaque aboutisse, il faut que l'utilisateur ouvre la pièce jointe du message électronique correspondant. Contournement•Ne pas ouvrir de fichiers Works provenant de sources non fiables ou reçus de sources fiables de manière inattendue Informations complémentaires •Cette vulnérabilité n’a pas été révélée publiquement avant la publication de ce bulletin. •À la publication de ce bulletin, Nous n'avons pas connaissance d'attaques ou de code d'exploitation.

17 MS12-023 Oui MS12-024 MS12-025 MS12-026 Non 1 MS12-027 NonOui 2 MS12-028 NonOui Détection et déploiement 1.Cette mise à jour est disponible uniquement via le Centre de téléchargement 2.Ces mises à jours pour SQL 2000 Analysis Services, Commerce Server, Visual FoxPro, et Visual Basic ne sont pas disponibles par le biais de nos outils de détection et de déploiement automatisés

18 Informations de mise à jour BulletinRedémarrage requisDésinstallationRemplace MS12-023 Oui MS12-010 MS12-024 Oui MS10-019 MS12-025 PossibleOuiAucun MS12-026 PossibleOuiAucun MS12-027 PossibleNon MS09-004 uniquement pour SQL 2000SP4 MS12-028 PossibleOui MS09-024 MS10-105

19 Avril 2012 - Mises à jour Non relatives à la sécurité ArticleTitleDistribution KB905866Update for Windows Mail Junk E-mail Filter The April 2012 release of the Windows Mail Junk E-mail Filter Catalog, AU, WSUS KB890830Windows Malicious Software Removal Tool The April 2012 release of the Windows Malicious Software Removal Tool Catalog, AU, WSUS KB2524478Update for Windows 7, Windows Server 2008 R2 x64 Edition The network location profile changes from "Domain" to "Public" in Windows 7 or in Windows Server 2008 R2 Catalog, AU, WSUS KB2679255Update for Windows 7, Windows Server 2008 R2, Windows Server 2008, and Windows Vista Data corruption occurs when a memory range is accessed by the SetFileIoOverlappedRange function and an I/O operation in SQL Server in Windows Vista, in Windows Server 2008, in Windows 7, or in Windows Server 2008 R2 Catalog, AU, WSUS KB2553248Update for Microsoft Outlook 2010 Catalog, AU KB2553267Update for Microsoft Office 2010 Catalog, AU KB2598306Update for Microsoft Office 2007 suites Catalog, AU KB2598292Update for Microsoft Office Outlook 2003 Junk Email Filter Catalog, AU Info: KB894199 Description of Software Update Services and Windows Server Update Services changes in content for 2012 http://support.microsoft.com/kb/894199

20 Windows Malicious Software Removal Tool Ajoute la possibilité de supprimer :Win32/Gamarue A bot-controlled worm that spreads via removable drives Win32/Bocinex A bundled installer that executes Program:Win32/CoinMiner Win32/Claretore A Trojan that injects itself into running processes to intercept browser traffic and redirect the browser to an attacker-defined URL Disponible en tant que mise à jour prioritaire sous Windows Update et Microsoft Update Disponible par WSUS 3.0 Disponible en téléchargement à l'adresse suivante : http://www.microsoft.com/france/securite/malwareremove http://www.microsoft.com/france/securite/malwareremove

21 Après le 10 avril 2012 les produits ou Service Pack suivants ne sont plus supportés :  Dynamics Point of Sales 2.0  Dynamics SL 7.0 Service Pack 2  System Center Virtual Machine Manager 2008 R2 RTM Après le 10 juillet 2012 les produits ou Service Pack suivants ne sont plus supportés : • SQL Server 2008 R2 RTM • Application Virtualization 4.6 RTM • Office 2010, SharePoint Server 2010, Visio 2010, Project 2010 RTM • Biztalk Server 2002 • Mobile Information Server 2002 Pour rappel…

22 Windows XP et Office 2003 ne seront plus supportés après le 8 avril 2014  Plus aucun correctif de sécurité  Plus aucun support Pour rappel…

23 Ressources Synthèse des Bulletins de sécurité http://technet.microsoft.com/fr-fr/security/bulletin/ms12-apr http://technet.microsoft.com/fr-fr/security/bulletin/ms12-apr Bulletins de sécurité http://technet.microsoft.com/fr-fr/security/bulletin http://technet.microsoft.com/fr-fr/security/bulletin Webcast des Bulletins de sécurité http://technet.microsoft.com/fr-fr/security/ http://technet.microsoft.com/fr-fr/security/ Avis de sécurité http://technet.microsoft.com/fr-fr/security/advisory http://technet.microsoft.com/fr-fr/security/advisory Abonnez-vous à la synthèse des Bulletins de sécurité (en français) http://www.microsoft.com/france/securite/newsletters.mspx http://www.microsoft.com/france/securite/newsletters.mspx Blog du MSRC (Microsoft Security Response Center) http://blogs.technet.com/msrc http://blogs.technet.com/msrc Microsoft France sécurité http://www.microsoft.com/france/securite http://www.microsoft.com/france/securite TechNet sécurité http://www.microsoft.com/france/technet/security http://www.microsoft.com/france/technet/security

24 Informations légales L’OBJET DU PRESENT DOCUMENT EST DE VOUS FOURNIR L’INFORMATION QUE VOUS AVEZ DEMANDEE CONCERNANT LA SECURITE. GENERALEMENT, L’INFORMATION PROVOQUE UNE PRISE DE CONSCIENCE AUTOUR DE LA SECURITE ET IDENTIFIE LE PERSONNEL, LES PROCEDES, RESSOURCES ET TECHNOLOGIES QUI SONT DESTINES A PROMOUVOIR DE BONNES REGLES DE SECURITE DANS VOTRE ORGANISATION. LES VIRUS ET AUTRES TECHNOLOGIES NUISIBLES DESTINES A ATTAQUER VOTRE ENVIRONNEMENT INFORMATIQUE CHANGENT CONTINUELLEMENT AFIN DE CONTOURNER LES MESURES DE SECURITE EXISTANTES. DES LORS, MAINTENIR UN ENVIRONNEMENT INFORMATIQUE FIABLE EST UN PROCESSUS CONTINU QUI EXIGE QUE VOUS MAINTENIEZ UN PERSONNEL, DES PROCEDES, RESSOURCES ET Technologies ADEQUATS AFIN DE VOUS PROTEGER CONTRE TOUTE ATTEINTE A LA SECURITE. AUCUNE DISPOSITION CONTENUE DANS LES PRESENTES NE DOIT ETRE INTERPRETEE OU CONSIDEREE COMME UNE CERTIFICATION, UNE GARANTIE OU TOUTE AUTRE FORME DE VALIDATION QUE VOTRE ENVIRONNEMENT INFORMATIQUE EST ET DEMEURERA PROTEGE CONTRE DES ATTEINTES A LA SECURITE ET NOUS N’ASSUMONS AUCUNE RESPONSABILITE POUR TOUTE ATTEINTE A LA SECURITE OU TOUT DOMMAGE OU PERTE SUBSEQUENT. TOUTES COMMUNICATIONS OU TRANSMISSIONS D’INFORMATION QUI VOUS SONT ADRESSEES AU SUJET DE MICROSOFT ET CONCERNANT LA SECURITE INCLUANT NOTAMMENT TOUTES SUGGESTIONS, ANALYSES, OU COMMENTAIRES QUI VOUS SONT FOURNIS DURANT UNE ANALYSE RELATIVE A LA SECURITE OU TOUTE AUTRE INFORMATION PASSEE, PRESENTE OU FUTURE RELATIVE NOTAMMENT AUX TESTS DE SECURITE, EVALUATIONS, DISPONIBILITES, HORAIRES OU OBJECTIFS (CI-APRES COLLECTIVEMENT DENOMMES « INFORMATIONS SUR LA SECURITE »), SONT FOURNIS CONFORMEMENT AUX CONDITIONS DU CONTRAT DE SERVICE EXISTANT ENTRE VOUS ET MICROSOFT ET UNIQUEMENT AFIN DE VOUS PERMETTRE DE VOUS ORGANISER FACE A D’EVENTUELS PROBLEMES DE SECURITE. TOUTES LES INFORMATIONS SUR LA SECURITE CONTIENNENT TOUTES LES DONNEES QUI NOUS SONT ACTUELLEMENT ACCESSIBLES MAIS QUI SONT SUSCEPTIBLES DE CHANGER EN RAISON DU CHANGEMENT CONSTANT DE CES DONNEES SANS QUE MICROSOFT VOUS AIT PREALABLEMENT INFORME DE CES CHANGEMENTS. NOUS VOUS RECOMMANDONS DONC DE VERIFIER REGULIEREMENT AUPRES DE NOUS ET SUR LE SITE INTERNET DE SECURITE SITUE A L’ADRESSE SUIVANTE WWW.MICROSOFT.COM/SECURITY SI LES INFORMATIONS QUE NOUS VOUS AVONS FOURNIES FONT L’OBJET DE MISES A JOUR. VEUILLEZ NOUS CONTACTER SI VOUS AVEZ D’AUTRES QUESTIONS CONCERNANT DES PROBLEMES DE SECURITE OU SI VOUS AVEZ BESOIN D’UNE MISE A JOUR DES INFORMATIONS QUE NOUS VOUS AVONS FOURNIES.WWW.MICROSOFT.COM/SECURITY