Bulletins de Sécurité Microsoft Juin 2012 Patrick Chuzel – Philippe Vialle CSS Security EMEA Bruno Sorcelle – Ahmed Neggaz Technical Account Manager.

Présentation au sujet: "Bulletins de Sécurité Microsoft Juin 2012 Patrick Chuzel – Philippe Vialle CSS Security EMEA Bruno Sorcelle – Ahmed Neggaz Technical Account Manager."— Transcription de la présentation:

1 Bulletins de Sécurité Microsoft Juin 2012 Patrick Chuzel – Philippe Vialle CSS Security EMEA Bruno Sorcelle – Ahmed Neggaz Technical Account Manager

2 Bienvenue ! Présentation des bulletins de Juin 2012 7 Nouveaux bulletins de Sécurité 3 Critiques 4 Importants 1 Nouvel Avis de sécurité 2 bulletins réédités Mises à jour Non relatives à la sécurité Informations connexes : Microsoft® Windows® Malicious Software* Removal Tool Autres informations Ressources Questions - Réponses : Envoyez dès maintenant ! * Malicious software (logiciel malveillant)

3 Questions - Réponses À tout moment pendant la présentation, posez vos questions : 1.Ouvrez linterface et cliquez dans sur lespace messagerie instantanée 2.Précisez le numéro du Bulletin, entrez votre question

4 BulletinN°ArticleLogicielAffectéComposantAffecté Indice de gravité Priorité de déploiement Max. Exploit Index Rating Révélé publiquem ent MS12-036 2685939 WindowsRDPCritique11Non MS12-037 2699988 WindowsInternet ExplorerCritique11Oui MS12-038 2706726 Windows.NET FrameworkCritique21Non MS12-039 2707956 OfficeLyncImportant21Oui MS12-040 2709100 DynamicsAX Enterprise PortalImportant21Non MS12-041 2709162 WindowsKernel-Mode DriversImportant31Non MS12-042 2711167 WindowsWindows KernelImportant31Oui Bulletins de Sécurité de Juin 2012 1 - Possibilité de code dexploitation fonctionnel | 2 - Possibilité de code dexploitation peu fonctionnel | 3 - Faible possibilité de code dexploitation fonctionnel | * Non concerné Index dexploitabilité : 1 - Possibilité de code dexploitation fonctionnel | 2 - Possibilité de code dexploitation peu fonctionnel | 3 - Faible possibilité de code dexploitation fonctionnel | * Non concerné

5 MS12-036 : Introduction et indices de gravité NuméroTitre Indice de gravité maximal Produits affectés MS12-036 Une vulnérabilité dans le Bureau à distance pourrait permettre l'exécution de code à distance (2685939) Critique Windows XP (Toutes les versions supportées) Windows Server 2003 (Toutes les versions supportées) Windows Vista (Toutes les versions supportées) Windows Server 2008 (Toutes les versions supportées) Windows 7 (Toutes les versions supportées) Windows Server 2008 R2 (Toutes les versions supportées)

6 MS12-036 : Une vulnérabilité dans le Bureau à distance pourrait permettre l'exécution de code à distance (2685939) - Critique VulnérabilitéVulnérabilité d'exécution de code à distance Vulnérabilité de Déni de service CVE-2012-0173 Vecteurs d'attaque possibles Une séquence de paquets RDP spécialement conçus envoyée au système cible. ImpactUn attaquant qui parviendrait à exploiter cette vulnérabilité pourrait prendre le contrôle intégral du système affecté. Il pourrait alors installer des programmes, afficher, modifier ou supprimer des données ou créer de nouveaux comptes dotés de tous les privilèges. Facteurs atténuantsPar défaut, le protocole Bureau à distance n'est activé sur aucun système d'exploitation Windows. Les systèmes sur lesquels RDP n'est pas activé ne sont pas concernés. Notez que sur Windows XP et Windows Server 2003, le composant Assistance à distance peut activer RDP. Les meilleures pratiques en matière de pare-feu Activation de NLA (Network Level Authentication) pour les versions Windows Vista et supérieur afin de nécessiter une authentification. ContournementDésactiver les fonctionnalités Terminal Services, Bureau à distance, Assistance à distance et Poste de travail Web à distance de Windows Small Business Server 2003 si elles ne sont plus nécessaires. Bloquer le port TCP 3389 au niveau du pare-feu de périmètre de l'entreprise Informations complémentaires Cette vulnérabilité na pas été révélée publiquement avant la publication de ce bulletin. À la publication de ce bulletin, Nous n'avons pas connaissance d'attaques ou de code d'exploitation

7 MS12-037 : Introduction et indices de gravité NuméroTitre Indice de gravité maximal Produits affectés MS12-037 Mise à jour de sécurité cumulative pour Internet Explorer (2699988) Critique Internet Explorer 6.0 Windows XP et Windows Server 2003 Internet Explorer 7 Windows XP, Windows Server 2003, Windows Vista et Windows Server 2008 Internet Explorer 8 Windows XP, Windows Server 2003, Windows Vista, Windows Server 2008, Windows 7 et Windows Server 2008 R2 Internet Explorer 9 Windows Vista, Windows Server 2008, Windows 7 et Windows Server 2008 R2

8 MS12-037 : Mise à jour de sécurité cumulative pour Internet Explorer (2699988) - Critique VulnérabilitéVulnérabilités d'exécution de code à distance Vulnérabilités de divulgation d'informations Vulnérabilité de cross-site-scripting CVE-2012-1523 CVE-2012-1858 CVE-2012-1872 CVE-2012-1873 CVE-2012-1874 CVE-2012-1875 CVE-2012-1876 CVE-2012-1877 CVE-2012-1878 CVE-2012-1879 CVE-2012-1880 CVE-2012-1881 CVE-2012-1882 Vecteurs d'attaque possibles Une page web spécialement conçue ImpactUn attaquant pourrait exécuter du code arbitraire dans le contexte de l'utilisateur. Facteurs atténuantsUn attaquant qui parviendrait à exploiter cette vulnérabilité pourrait obtenir les mêmes droits que l'utilisateur actuel. Dans le cas d'une attaque Web, l'attaquant n'aurait aucun moyen de forcer l'utilisateur à visiter ces sites Web. Par défaut, toutes les versions de Microsoft Outlook, Microsoft Outlook Express et Windows Mail en cours de support ouvrent les messages au format HTML dans la zone Sites sensibles. Par défaut, Internet Explorer sur Windows Server 2003, Windows Server 2008 et Windows Server 2008 R2 s'exécutent selon un mode restreint appelé Configuration de sécurité renforcée. ContournementDéfinissez les paramètres des zones Intranet local et Internet sur la valeur « Élevé » afin de bloquer les contrôles ActiveX et Active Scripting dans ces zones Configurer Internet Explorer de manière à ce qu'il désactive Active Scripting ou à ce qu'il vous avertisse avant de l'exécuter dans la zone de sécurité Intranet local et Internet Lire les messages électroniques au format texte brut Informations complémentaires La CVE-2012-1882 a été révélée publiquement avant la publication de ce bulletin. À la publication de ce bulletin, nous avons connaissance d'attaques concernant la CVE-2012-1875.

9 MS12-038 : Introduction et indices de gravité NuméroTitre Indice de gravité maximal Produits affectés MS12-038 Une vulnérabilité dans.NET Framework pourrait permettre l'exécution de code à distance (2706726) Critique.NET Framework 2.0 SP2.NET Framework 3.5.1.NET Framework 4.0

10 MS12-038 : Une vulnérabilité dans.NET Framework pourrait permettre l'exécution de code à distance (2706726) - Critique VulnérabilitéVulnérabilité d'exécution de code à distanceCVE-2012-1855 Vecteurs d'attaque possibles Un site Web spécialement conçu contenant une XBAP (application du navigateur XAML) spécialement conçue Une applications Windows.NET Framework spécialement conçue pour contourner les restrictions de sécurité d'accès du code (CAS). ImpactUn attaquant qui parviendrait à exploiter cette vulnérabilité pourrait obtenir les mêmes autorisations que l'utilisateur actuellement connecté. Facteurs atténuantsDans le cas d'une attaque de navigation Web, l'attaquant n'aurait aucun moyen de forcer l'utilisateur à visiter ces sites Web. Par défaut, Internet Explorer sur Windows Server 2003, Windows Server 2008 et Windows Server 2008 R2 s'exécutent selon un mode restreint appelé Configuration de sécurité renforcée. Les applications standard.NET Framework ne sont pas concernées par cette vulnérabilité. Seules les applications.NET Framework spécialement conçues pourraient exploiter cette vulnérabilité. ContournementDésactiver les applications du navigateur XAML dans Internet Explorer Informations complémentaires Cette vulnérabilité na pas été révélée publiquement avant la publication de ce bulletin. À la publication de ce bulletin, Nous n'avons pas connaissance d'attaques ou de code d'exploitation.

11 MS12-039 : Introduction et indices de gravité NuméroTitre Indice de gravité maximal Produits affectés MS12-039 Des vulnérabilités dans Lync pourraient permettre l'exécution de code à distance (2707956) Important Microsoft Communicator 2007 R2 Microsoft Lync 2010 (32-bit) Microsoft Lync 2010 (64-bit) Microsoft Lync 2010 Attendee Microsoft Lync 2010 Attendant (32 bits) Microsoft Lync 2010 Attendant (64 bits)

12 MS12-039 : Des vulnérabilités dans Lync pourraient permettre l'exécution de code à distance (2707956) - Important VulnérabilitéVulnérabilités dexécution de code à distance Vulnérabilité de divulgation d'informations CVE-2011-3402 CVE-2012-0159 CVE-2012-1849 CVE-2012-1858 Vecteurs d'attaque possibles Des polices TrueType spécialement conçues Un fichier Microsoft Lync légitime (par exemple un fichier.ocsmeet) situé dans le même répertoire réseau qu'un fichier de bibliothèque de liens dynamiques (DLL) spécialement conçu. Soumettre un script spécialement conçu à une fenêtre de conversation Lync ou Microsoft Communicator ImpactUn attaquant qui parviendrait à exploiter cette vulnérabilité pourrait obtenir les mêmes droits que l'utilisateur actuel. Facteurs atténuantsCVE-2011-3402, CVE-2012-0159, CVE-2012-1849: Un attaquant qui parviendrait à exploiter cette vulnérabilité pourrait obtenir les mêmes droits que l'utilisateur actuel. CVE-2012-1849 : Pour qu'une attaque aboutisse, un utilisateur doit visiter l'emplacement d'un système de fichiers distant ou un partage WebDAV non fiable et ouvrir à partir de cet emplacement un fichier légitime (tel qu'un fichier.ocsmeet), celui-ci étant ensuite chargé par une application vulnérable. Le protocole de partage de fichiers, SMB est souvent désactivé sur le pare-feu CVE-2012-1858 : Microsoft n'a identifié aucun facteur atténuant pour cette vulnérabilité. ContournementCVE-2011-3402, CVE-2012-0159, CVE-2012-1858 : Microsoft n'a identifié aucune solution de contournement pour ces vulnérabilités. CVE-2012-1849 : Désactiver le chargement de bibliothèques à partir de partages réseau WebDAV et distants Désactiver le service WebClient Bloquer les ports TCP 139 et 445 au niveau du pare-feu Informations complémentaires La CVE-2011-3402 a été révélée publiquement avant la publication de ce bulletin À la publication de ce bulletin, nous avons connaissance d'attaques concernant la CVE-2011-3402 qui a été corrigée précédemment dans le bulletin MS11-087.

13 MS12-040 : Introduction et indices de gravité NuméroTitre Indice de gravité maximal Produits affectés MS12-040 Une vulnérabilité dans Microsoft Dynamics AX Enterprise Portal pourrait permettre une élévation de privilèges (2709100) Important Microsoft Dynamics AX Enterprise Portal 2012

14 MS12-040 : Une vulnérabilité dans Microsoft Dynamics AX Enterprise Portal pourrait permettre une élévation de privilèges (2709100) - Important VulnérabilitéVulnérabilité d'élévation des privilègesCVE-2012-1857 Vecteurs d'attaque possibles Une URL spécialement conçue avec une attaque cross-site scripting Un message électronique contenant l'URL spécialement conçue ImpactUn attaquant qui parviendrait à exploiter cette vulnérabilité pourrait lire du contenu qu'il n'est pas autorisé à lire, utiliser l'identité de la victime pour effectuer des opérations sur le site Microsoft Dynamics AX Enterprise Portal en son nom, comme modifier les autorisations et supprimer du contenu, et injecter du contenu malveillant dans le navigateur de la victime. Facteurs atténuantsDans le cas d'une attaque Web, l'attaquant n'aurait aucun moyen de forcer l'utilisateur à visiter ces sites Web. Les utilisateurs d'Internet Explorer 8 et d'Internet Explorer 9 qui naviguent vers un site Microsoft Dynamics AX 2012 Enterprise Portal dans la zone Internet sont moins exposés. Cette vulnérabilité ne peut pas être exploitée automatiquement par le biais de messages électroniques. Pour qu'une attaque aboutisse, l'utilisateur doit cliquer sur une URL spécialement conçue faisant partie du message. ContournementActiver le filtre XSS pour la zone de sécurité Intranet local d'Internet Explorer 8 et Internet Explorer 9. Informations complémentaires Cette vulnérabilité na pas été révélée publiquement avant la publication de ce bulletin. À la publication de ce bulletin, Nous n'avons pas connaissance d'attaques ou de code d'exploitation.

15 MS12-041 : Introduction et indices de gravité NuméroTitre Indice de gravité maximal Produits affectés MS12-041 Des vulnérabilités dans les pilotes en mode noyau de Windows pourraient permettre une élévation de privilèges (2709162) Important Windows XP (Toutes les versions supportées) Windows Server 2003 (Toutes les versions supportées) Windows Vista (Toutes les versions supportées) Windows Server 2008 (Toutes les versions supportées) Windows 7 (Toutes les versions supportées) Windows Server 2008 R2 (Toutes les versions supportées)

16 MS12-041 : Des vulnérabilités dans les pilotes en mode noyau de Windows pourraient permettre une élévation de privilèges (2709162) - Important VulnérabilitéVulnérabilités d'élévation des privilègesCVE-2012-1864 CVE-2012-1865 CVE-2012-1866 CVE-2012-1867 CVE-2012-1868 Vecteurs d'attaque possibles Une application spécialement conçue ImpactUn attaquant qui parviendrait à exploiter cette vulnérabilité pourrait exécuter du code arbitraire en mode noyau et prendre le contrôle intégral du système affecté. Facteurs atténuantsPour exploiter cette vulnérabilité, l'attaquant doit disposer d'informations d'identification valides pour ouvrir une session en local. ContournementMicrosoft n'a identifié aucune solution de contournement pour ces vulnérabilités. Informations complémentaires Ces vulnérabilités nont pas été révélées publiquement avant la publication de ce bulletin. À la publication de ce bulletin, Nous n'avons pas connaissance d'attaques ou de code d'exploitation.

17 MS12-042 : Introduction et indices de gravité NuméroTitre Indice de gravité maximal Produits affectés MS12-042 Des vulnérabilités dans le noyau Windows pourraient permettre une élévation de privilèges (2711167) Important Windows XP Service Pack 3 Windows Server 2003 Service Pack 2 Windows 7 x64 Windows 7 x64 Service Pack 1 Windows Server 2008 R2 x64 Windows Server 2008 R2 Service Pack 1

18 MS12-042 : Des vulnérabilités dans le noyau Windows pourraient permettre une élévation de privilèges (2711167) - Important VulnérabilitéVulnérabilités délévation de privilègesCVE-2012-0217 CVE-2012-1515 Vecteurs d'attaque possibles Une application spécialement conçue ImpactUn attaquant qui parviendrait à exploiter cette vulnérabilité pourrait exécuter du code arbitraire en mode noyau et prendre le contrôle intégral du système affecté. Facteurs atténuantsPour exploiter cette vulnérabilité, l'attaquant doit disposer d'informations d'identification valides pour ouvrir une session en local. Cette vulnérabilité affecte uniquement les versions x64 à processeur Intel de Windows 7 et Windows Server 2008 R2. Les systèmes dotés de processeurs AMD ou ARM ne sont pas affectés par cette vulnérabilité. ContournementMicrosoft n'a identifié aucune solution de contournement pour ces vulnérabilités. Informations complémentaires La CVE-2012-1515 a été révélée publiquement avant la publication de ce bulletin. À la publication de ce bulletin, Nous n'avons pas connaissance d'attaques ou de code d'exploitation.

19 MS12-036 Oui MS12-037 MS12-038 MS12-039 NonOui* MS12-040 Non MS12-041 Oui MS12--042 Détection et déploiement Microsoft does not offer any enterprise level detection and deployment tools for Lync 2010 Attendee user level installations Dynamics AX is not supported by any of our automated detection and deployment technologies

20 Informations de mise à jour BulletinRedémarrage requisDésinstallationRemplace MS12-036 Oui MS11-065, MS12-020 MS12-037 Oui MS12-023 MS12-038 PossibleOuiAucun MS12-039 PossibleOuiAucun MS12-040 OuiNonAucun MS12-041 Oui MS12-018 MS12-042 Oui MS11-068, MS11-098

21 Avis de Sécurité 2719615

22 Réédition

23 Juin 2012 - Mises à jour Non relatives à la sécurité ArticleTitleDistribution KB905866Update for Windows Mail Junk E-mail Filter The June 2012 release of the Windows Mail Junk E-mail Filter Catalog, AU, WSUS KB890830Windows Malicious Software Removal Tool The June 2012 release of the Windows Malicious Software Removal Tool Catalog, AU, WSUS KB2677070Update for Windows 7, Windows Server 2008 R2, Windows Server 2008, and Windows Vista Catalog, AU, WSUS KB2699779Update for Windows 7 and Windows Server 2008 R2 Catalog, AU, WSUS KB2703157Update for Windows 7 and Windows Server 2008 R2 Catalog, AU, WSUS KB2709630Update for Windows 7 and Windows Server 2008 R2 Catalog, AU, WSUS KB2709981Update for Windows 7 and Windows Server 2008 R2 Catalog, AU, WSUS Info: KB894199 Description of Software Update Services and Windows Server Update Services changes in content for 2012 http://support.microsoft.com/kb/894199

24 Windows Malicious Software Removal Tool Ajoute la possibilité de supprimer :Win32/Cleanman A malicious program that is unable to spread of its own accord. It may perform a number of actions of an attacker's choice on an affected computer Win32/Kuluoz A trojan that attempts to connect your computer to a remote server so it receives and performs instructions, such as to download and execute files. This trojan has been observed to download variants of Trojan:Win32/FakeSysdef, a rogue security scanner Disponible en tant que mise à jour prioritaire sous Windows Update et Microsoft Update Disponible par WSUS 3.0 Disponible en téléchargement à l'adresse suivante : http://www.microsoft.com/france/securite/malwareremove http://www.microsoft.com/france/securite/malwareremove

25 Après le 10 juillet 2012 les produits ou Service Pack suivants ne sont plus supportés : SQL Server 2008 R2 RTM SQL Server 2008 R2 RTM Application Virtualization 4.6 RTM Application Virtualization 4.6 RTM Office 2010, SharePoint Server 2010, Visio 2010, Project 2010 RTM Office 2010, SharePoint Server 2010, Visio 2010, Project 2010 RTM Biztalk Server 2002 Biztalk Server 2002 Mobile Information Server 2002 Mobile Information Server 2002 Pour rappel…

26 Windows XP et Office 2003 ne seront plus supportés après le 8 avril 2014 Plus aucun correctif de sécurité Plus aucun correctif de sécurité Plus aucun support Plus aucun support Pour rappel…

27 Ressources Synthèse des Bulletins de sécurité http://technet.microsoft.com/fr-fr/security/bulletin/ms12-jun http://technet.microsoft.com/fr-fr/security/bulletin/ms12-jun Bulletins de sécurité http://technet.microsoft.com/fr-fr/security/bulletin http://technet.microsoft.com/fr-fr/security/bulletin Webcast des Bulletins de sécurité http://technet.microsoft.com/fr-fr/security/ http://technet.microsoft.com/fr-fr/security/ Avis de sécurité http://technet.microsoft.com/fr-fr/security/advisory http://technet.microsoft.com/fr-fr/security/advisory Abonnez-vous à la synthèse des Bulletins de sécurité (en français) http://www.microsoft.com/france/securite/newsletters.mspx http://www.microsoft.com/france/securite/newsletters.mspx Blog du MSRC (Microsoft Security Response Center) http://blogs.technet.com/msrc http://blogs.technet.com/msrc Microsoft France sécurité http://www.microsoft.com/france/securite http://www.microsoft.com/france/securite TechNet sécurité http://www.microsoft.com/france/technet/security http://www.microsoft.com/france/technet/security

28 Informations légales LOBJET DU PRESENT DOCUMENT EST DE VOUS FOURNIR LINFORMATION QUE VOUS AVEZ DEMANDEE CONCERNANT LA SECURITE. GENERALEMENT, LINFORMATION PROVOQUE UNE PRISE DE CONSCIENCE AUTOUR DE LA SECURITE ET IDENTIFIE LE PERSONNEL, LES PROCEDES, RESSOURCES ET TECHNOLOGIES QUI SONT DESTINES A PROMOUVOIR DE BONNES REGLES DE SECURITE DANS VOTRE ORGANISATION. LES VIRUS ET AUTRES TECHNOLOGIES NUISIBLES DESTINES A ATTAQUER VOTRE ENVIRONNEMENT INFORMATIQUE CHANGENT CONTINUELLEMENT AFIN DE CONTOURNER LES MESURES DE SECURITE EXISTANTES. DES LORS, MAINTENIR UN ENVIRONNEMENT INFORMATIQUE FIABLE EST UN PROCESSUS CONTINU QUI EXIGE QUE VOUS MAINTENIEZ UN PERSONNEL, DES PROCEDES, RESSOURCES ET Technologies ADEQUATS AFIN DE VOUS PROTEGER CONTRE TOUTE ATTEINTE A LA SECURITE. AUCUNE DISPOSITION CONTENUE DANS LES PRESENTES NE DOIT ETRE INTERPRETEE OU CONSIDEREE COMME UNE CERTIFICATION, UNE GARANTIE OU TOUTE AUTRE FORME DE VALIDATION QUE VOTRE ENVIRONNEMENT INFORMATIQUE EST ET DEMEURERA PROTEGE CONTRE DES ATTEINTES A LA SECURITE ET NOUS NASSUMONS AUCUNE RESPONSABILITE POUR TOUTE ATTEINTE A LA SECURITE OU TOUT DOMMAGE OU PERTE SUBSEQUENT. TOUTES COMMUNICATIONS OU TRANSMISSIONS DINFORMATION QUI VOUS SONT ADRESSEES AU SUJET DE MICROSOFT ET CONCERNANT LA SECURITE INCLUANT NOTAMMENT TOUTES SUGGESTIONS, ANALYSES, OU COMMENTAIRES QUI VOUS SONT FOURNIS DURANT UNE ANALYSE RELATIVE A LA SECURITE OU TOUTE AUTRE INFORMATION PASSEE, PRESENTE OU FUTURE RELATIVE NOTAMMENT AUX TESTS DE SECURITE, EVALUATIONS, DISPONIBILITES, HORAIRES OU OBJECTIFS (CI-APRES COLLECTIVEMENT DENOMMES « INFORMATIONS SUR LA SECURITE »), SONT FOURNIS CONFORMEMENT AUX CONDITIONS DU CONTRAT DE SERVICE EXISTANT ENTRE VOUS ET MICROSOFT ET UNIQUEMENT AFIN DE VOUS PERMETTRE DE VOUS ORGANISER FACE A DEVENTUELS PROBLEMES DE SECURITE. TOUTES LES INFORMATIONS SUR LA SECURITE CONTIENNENT TOUTES LES DONNEES QUI NOUS SONT ACTUELLEMENT ACCESSIBLES MAIS QUI SONT SUSCEPTIBLES DE CHANGER EN RAISON DU CHANGEMENT CONSTANT DE CES DONNEES SANS QUE MICROSOFT VOUS AIT PREALABLEMENT INFORME DE CES CHANGEMENTS. NOUS VOUS RECOMMANDONS DONC DE VERIFIER REGULIEREMENT AUPRES DE NOUS ET SUR LE SITE INTERNET DE SECURITE SITUE A LADRESSE SUIVANTE WWW.MICROSOFT.COM/SECURITY SI LES INFORMATIONS QUE NOUS VOUS AVONS FOURNIES FONT LOBJET DE MISES A JOUR. VEUILLEZ NOUS CONTACTER SI VOUS AVEZ DAUTRES QUESTIONS CONCERNANT DES PROBLEMES DE SECURITE OU SI VOUS AVEZ BESOIN DUNE MISE A JOUR DES INFORMATIONS QUE NOUS VOUS AVONS FOURNIES.WWW.MICROSOFT.COM/SECURITY