Bulletin de sécurité Microsoft 31 Mars 2010 – Hors Cycle Jean Gautier CSS Security EMEA Bruno Sorcelle & Valéry Kremer Technical Account Manager

Bienvenue ! Présentation du bulletin du 31 Mars 2010 Nouveau bulletin de sécurité critique Ressources Questions - Réponses : Envoyez dès maintenant !

Questions - Réponses À tout moment pendant la présentation, posez vos questions : 1. Ouvrez l’interface Questions-réponses en cliquant sur le menu Q&R : 2. Précisez le numéro du Bulletin, entrez votre question et cliquez sur « Poser une question » :

Bulletin de Sécurité du 31 Mars 2010 MS Critique Internet Explorer Microsoft Windows

MS10-018: Introduction et indices de gravité NuméroTitre Indice de gravité maximal Produits affectés MS Mise à jour de sécurité cumulative Internet Explorer ( ) Critique Internet Explorer 5.01 et Internet Explorer 6 SP1 sur Windows 2000 SP4 Internet Explorer 6.0 sur Windows XP et Windows Server 2003 (Toutes les versions supportées) Internet Explorer 7 sur Windows XP, Windows Server 2003, Windows Vista, Windows Server 2008 (Toutes les versions supportées) Internet Explorer 8 sur Windows XP, Windows Server 2003, Windows Vista, Windows Server 2008, Windows 7, et Windows Server 2008 R2 (Toutes les versions supportées)

MS10-018: Introduction et indices de gravité Produit affecté CVE CVE CVE CVE CVE CVE CVE CVE CVE CVE Sévérité IE 5.01 | Win2K n/aImportantCritique Critique Critique Critique IE 6 SP1|Win2K CritiqueImportantCritiqueCritiqueCritiquen/aCritiqueCritiqueCritique Critique IE 6 |WinXP CritiqueImportantCritiqueCritiqueCritiquen/aImportantCritiqueCritique Critique IE 6 |Win2003 ModéréImportantModéréModéréModérén/aFaible Modéré Important IE 7 |WinXP CritiqueImportantCritiqueCritiquen/a Important CritiqueCritiqueCritique IE 7 |Win2003 ModéréImportantModéréModérén/a Faible ModéréCritiqueCritique IE 7 |WinVista CritiqueImportantCritiqueCritiquen/a Important CritiqueCritiqueCritique IE 7 |Win2008 ModéréImportantModéréModérén/a Faible ModéréCritiqueCritique IE 8 |WinXP n/a Critique CritiqueImportant Critique IE 8 |Win2003 n/a Modéré ModéréFaible Modéré IE 8 |WinVista n/a Critique CritiqueImportant Critique IE 8 |Win2008 n/a Modéré ModéréFaible Modéré IE 8 |Win7 n/a Critique CritiqueImportant Critique IE 8 |Win2008 R2 n/a Modéré ModéréFaible Modéré 1.Exploit connu publiquement

) MS : Mise à jour de Sécurité pour Internet Explorer ( ) - Critique - CVE (Public) VulnérabilitéVulnérabilité d'exécution de code à distance Vecteurs d'attaque possibles Page web spécialement conçue Cliquer sur un lien dans un message électronique ImpactUn attaquant pourrait prendre le contrôle intégrale de la machine. Facteurs atténuantsLes utilisateurs devront être convaincus de visiter un site web malveillant Tout attaquant parvenant à exploiter cette vulnérabilité pourrait obtenir les mêmes droits que l'utilisateur. Par défaut, toutes les versions de Microsoft Outlook, Microsoft Outlook Express et de Windows Mail en cours de support ouvrent les messages au format HTML dans la zone Sites sensibles. Par défaut, Internet Explorer sur Windows Server 2003 et Windows Server 2008 s'exécute selon un mode restreint Nommé Configuration de sécurité améliorée. Internet Explorer 5.01 SP4 et Internet Explorer 8 ne sont pas affectés par cette vulnérabilité ContournementParamétrer Ia sécurité d’Internet Explorer a Élevé pour les zones Internet et Intranet Configurer Internet Explorer pour demander l’exécution des ActiveX et de l’Active scripting Désactivation de la classe de constitution d'égal à égal en modifiant les clés de Registre pour iepeers.dll Modifier les ACLs sur iepeers.dll Activer DEP pour Internet Explorer 7 Désactiver les contrôles ActiveX dans Office 2007 Ne pas ouvrir des fichiers Microsoft Office provenant de sources Non fiables ou reçu de façon inattendue de sources fiables Informations complémentaires Cette vulnérabilité a été révélée publiquement. À la publication de ce bulletin, Microsoft a connaissance d'attaques limitées et ciblées visant à exploiter cette vulnérabilité (CVE )

) MS : Mise à jour de Sécurité pour Internet Explorer ( ) - Critique - CVE et CVE Vulnérabilité Vulnérabilité de divulgation d'informations Vecteurs d'attaque possibles Page web spécialement conçue ImpactUn attaquant qui réussirait à exploiter cette vulnérabilité pourrait voir du contenu à partir de l'ordinateur local ou d'une autre fenêtre de navigation dans une autre zone ou un autre domaine d'Internet Explorer. Facteurs atténuantsLes utilisateurs devront être convaincus de visiter un site web malveillant Par défaut, toutes les versions de Microsoft Outlook, Microsoft Outlook Express et de Windows Mail en cours de support ouvrent les messages au format HTML dans la zone Sites sensibles (CVE ) Par défaut, Internet Explorer sur Windows Server 2003 et Windows Server 2008 s'exécute selon un mode restreint Nommé Configuration de sécurité améliorée (CVE ) Internet Explorer 8 n’est pas affecté par la vulnérabilité CVE Internet Explorer 5.01 SP4 n’est pas affecté par la vulnérabilité CVE ContournementDésactiver les contrôles ActiveX dans Office 2007 Ne pas ouvrir des fichiers Microsoft Office provenant de sources Non fiables ou reçu de façon inattendue de sources fiables Paramétrer Ia sécurité d’Internet Explorer a Élevé pour les zones Internet et Intranet pour la vulnérabilité CVE Configurer Internet Explorer pour demander l’exécution des ActiveX et de l’Active scripting pour la vulnérabilité CVE Informations complémentaires Ces vulnérabilités ont été signalées de manière responsable. À la publication de ce bulletin, Microsoft n’a pas connaissance d'attaques limitées et ciblées visant à exploiter une de ces vulnérabilités.

) MS : Mise à jour de Sécurité pour Internet Explorer ( ) - Critique - CVE , CVE , CVE , CVE , CVE , CVE , CVE VulnérabilitéVulnérabilité d'exécution de code à distance Vecteurs d'attaque possibles Page web spécialement conçue Cliquer sur un lien dans un message électronique ImpactUn attaquant pourrait prendre le contrôle intégrale de la machine. Facteurs atténuantsLes utilisateurs devront être convaincus de visiter un site web malveillant Tout attaquant parvenant à exploiter cette vulnérabilité pourrait obtenir les mêmes droits que l'utilisateur. Par défaut, toutes les versions de Microsoft Outlook, Microsoft Outlook Express et de Windows Mail en cours de support ouvrent les messages au format HTML dans la zone Sites sensibles. Par défaut, Internet Explorer sur Windows Server 2003 et Windows Server 2008 s'exécute selon un mode restreint Nommé Configuration de sécurité améliorée. ContournementParamétrer Ia sécurité d’Internet Explorer a Élevé pour les zones Internet et Intranet Configurer Internet Explorer pour demander l’exécution des ActiveX et de l’Active scripting Désactiver les contrôles ActiveX dans Office 2007 Ne pas ouvrir des fichiers Microsoft Office provenant de sources Non fiables ou reçu de façon inattendue de sources fiables Modifier les ACLs sur mstime.dll pour la vulnérabilité CVE Informations complémentaires Ces vulnérabilités ont été signalées de manière responsable. À la publication de ce bulletin, Microsoft n’a pas connaissance d'attaques limitées et ciblées visant à exploiter une de ces vulnérabilités.

Détection et déploiement Plateforme concernée Windows Update Microsoft Update MBSA 2.1WSUS 3.0SMS avec Feature Pack SUS SMS avec Outil d'inventaire des mises à jour SCCM 2007 Windows 2000 OuiOui Oui Oui Windows XP OuiOui Oui Oui Windows XP x64 OuiOui Oui Oui Non Non Oui Oui Windows Server 2003 OuiOui Oui Oui Windows Server 2003 x64 OuiOui Oui Oui Non Non Oui Oui Windows Server 2003 ia64 OuiOui Oui Oui Non Non Oui Oui Windows Vista OuiOui Oui Oui Non Non Oui Oui Windows Vista x64 OuiOui Oui Oui Non Non Oui Oui Windows Server 2008 OuiOui Oui Oui Non Non Oui Oui Windows Server 2008 x64 OuiOui Oui Oui Non Non Oui Oui Windows Server 2008 ia64 OuiOui Oui Oui Non Non Oui Oui Windows 7 32-bit OuiOui Oui Oui Non NonOui Oui Oui Windows 7 x64 OuiOui Oui Oui Non NonOui Oui Oui Windows Server 2008 R2 x64 OuiOui Oui Oui Non NonOui Oui Oui Windows Server 2008 R2 ia64 OuiOui Oui Oui Non NonOui Oui Oui

Informations de mise à jour (suite) BulletinRedémarrage requisDésinstallationRemplace MS Oui MS10-002

Ressources Synthèse des Bulletins de sécurité Bulletins de sécurité Webcast des Bulletins de sécurité Avis de sécurité Abonnez-vous à la synthèse des Bulletins de sécurité (en français) Blog du MSRC (Microsoft Security Response Center) Microsoft France sécurité TechNet sécurité

Informations légales L’OBJET DU PRESENT DOCUMENT EST DE VOUS FOURNIR L’INFORMATION QUE VOUS AVEZ DEMANDEE CONCERNANT LA SECURITE. GENERALEMENT, L’INFORMATION PROVOQUE UNE PRISE DE CONSCIENCE AUTOUR DE LA SECURITE ET IDENTIFIE LE PERSONNEL, LES PROCEDES, RESSOURCES ET TECHNonLOGIES QUI SONT DESTINES A PROMOUVOIR DE BONNES REGLES DE SECURITE DANS VOTRE ORGANISATION. LES VIRUS ET AUTRES TECHNonLOGIES NUISIBLES DESTINES A ATTAQUER VOTRE ENVIRONNEMENT INFORMATIQUE CHANGENT CONTINUELLEMENT AFIN DE CONTOURNER LES MESURES DE SECURITE EXISTANTES. DES LORS, MAINTENIR UN ENVIRONNEMENT INFORMATIQUE FIABLE EST UN PROCESSUS CONTINU QUI EXIGE QUE VOUS MAINTENIEZ UN PERSONNEL, DES PROCEDES, RESSOURCES ET TECHNonLOGIES ADEQUATS AFIN DE VOUS PROTEGER CONTRE TOUTE ATTEINTE A LA SECURITE. AUCUNE DISPOSITION CONTENUE DANS LES PRESENTES NE DOIT ETRE INTERPRETEE OU CONSIDEREE COMME UNE CERTIFICATION, UNE GARANTIE OU TOUTE AUTRE FORME DE VALIDATION QUE VOTRE ENVIRONNEMENT INFORMATIQUE EST ET DEMEURERA PROTEGE CONTRE DES ATTEINTES A LA SECURITE ET NonUS N’ASSUMONS AUCUNE RESPONSABILITE POUR TOUTE ATTEINTE A LA SECURITE OU TOUT DOMMAGE OU PERTE SUBSEQUENT. TOUTES COMMUNICATIONS OU TRANSMISSIONS D’INFORMATION QUI VOUS SONT ADRESSEES AU SUJET DE MICROSOFT ET CONCERNANT LA SECURITE INCLUANT NonTAMMENT TOUTES SUGGESTIONS, ANALYSES, OU COMMENTAIRES QUI VOUS SONT FOURNIS DURANT UNE ANALYSE RELATIVE A LA SECURITE OU TOUTE AUTRE INFORMATION PASSEE, PRESENTE OU FUTURE RELATIVE NonTAMMENT AUX TESTS DE SECURITE, EVALUATIONS, DISPONIBILITES, HORAIRES OU OBJECTIFS (CI-APRES COLLECTIVEMENT DENonMMES « INFORMATIONS SUR LA SECURITE »), SONT FOURNIS CONFORMEMENT AUX CONDITIONS DU CONTRAT DE SERVICE EXISTANT ENTRE VOUS ET MICROSOFT ET UNIQUEMENT AFIN DE VOUS PERMETTRE DE VOUS ORGANISER FACE A D’EVENTUELS PROBLEMES DE SECURITE. TOUTES LES INFORMATIONS SUR LA SECURITE CONTIENNENT TOUTES LES DONNEES QUI NonUS SONT ACTUELLEMENT ACCESSIBLES MAIS QUI SONT SUSCEPTIBLES DE CHANGER EN RAISON DU CHANGEMENT CONSTANT DE CES DONNEES SANS QUE MICROSOFT VOUS AIT PREALABLEMENT INFORME DE CES CHANGEMENTS. NonUS VOUS RECOMMANDONS DONC DE VERIFIER REGULIEREMENT AUPRES DE NonUS ET SUR LE SITE INTERNET DE SECURITE SITUE A L’ADRESSE SUIVANTE SI LES INFORMATIONS QUE NonUS VOUS AVONS FOURNIES FONT L’OBJET DE MISES A JOUR. VEUILLEZ NonUS CONTACTER SI VOUS AVEZ D’AUTRES QUESTIONS CONCERNANT DES PROBLEMES DE SECURITE OU SI VOUS AVEZ BESOIN D’UNE MISE A JOUR DES INFORMATIONS QUE NonUS VOUS AVONS FOURNIES.