Bulletins de sécurité Microsoft Janvier 2009 Jean Gautier CSS Security EMEA IR Team Jérôme Leseinne CSS Security EMEA IR Team Mathieu Malaise Direction.

Présentation au sujet: "Bulletins de sécurité Microsoft Janvier 2009 Jean Gautier CSS Security EMEA IR Team Jérôme Leseinne CSS Security EMEA IR Team Mathieu Malaise Direction."— Transcription de la présentation:

1 Bulletins de sécurité Microsoft Janvier 2009 Jean Gautier CSS Security EMEA IR Team Jérôme Leseinne CSS Security EMEA IR Team Mathieu Malaise Direction technique et sécurité

2 Bienvenue ! Présentation des bulletins de janvier Un nouveau Bulletin de sécurité Mise à jour non relatives à la sécurité Informations connexes : Win32/Conficker Microsoft® Windows® Malicious Software* Removal Tool Ressources * Malicious software (logiciel malveillant)

3 Questions - Réponses À tout moment pendant la présentation, posez vos questions : 1. Ouvrez linterface Questions-réponses en cliquant sur le menu Q&R : 2. Précisez le numéro du Bulletin, entrez votre question et cliquez sur « Poser une question » :

4 Bulletins de sécurité - Janvier 2009 Présentation Nouveau Bulletin de sécurité : Critique : 1

5 Indices de gravité cumulée et Indices d'exploitabilité Bulletin Indice de gravité maximal Indice d'exploitabilité maximum MS09-001 Critique3 - Faible possibilité de code dexploitation fonctionnel * Tri par indice de gravité et indice d'exploitabilité * Indice de gravité dans chaque Bulletin * Indice d'exploitabilité dans la Synthèse

6 MS09-001 : Introduction NuméroTitre Indice de gravité maximal Produits affectés MS09-001 Des vulnérabilités dans SMB pourraient permettre l'exécution de code à distance (958687) Critique Toutes versions de Windows et de Windows Server (incl. Server Core) en cours de support

7 MS09-001 : Indices de gravité Numéro Windows 2000 SP4 Windows XP SP2 et SP3, Windows XP Édition x64 et Édition x64 SP2, Windows Server 2003 SP1 et SP2 Windows Server 2003 x64 et x64 SP2, Windows Server 2003 SP1 et SP2 Windows Server 2003 pour les systèmes Itanium et pour les systèmes Itanium SP2 Windows Vista et Windows Vista SP1, Windows Vista Édition x64 et Édition x64 SP1 Windows Server 2008 pour systèmes 32 bits, Windows Server 2008 pour systèmes x64 et Windows Server 2008 pour systèmes Itanium MS09-001 Critique Modéré *Installation Server Core de Windows Server 2008 concernée.

8 MS09-001 : Des vulnérabilités dans SMB pourraient permettre l'exécution de code à distance (958687) - Critique VulnérabilitéCette mise à jour de sécurité corrige plusieurs vulnérabilités signalées confidentiellement dans le protocole Microsoft Server Message Block (SMB) qui pourraient permettre l'exécution de code à distance et/ou un déni de service. Vecteurs d'attaque possibles Un attaquant pourrait exploiter cette vulnérabilité en envoyant un message réseau spécialement conçu à un ordinateur exécutant le service Serveur. ImpactLe code malveillant pourrait s'exécuter dans le contexte Système. Un attaquant qui parviendrait à exploiter cette vulnérabilité pourrait prendre le contrôle intégral du système affecté. Facteurs atténuantsBonnes pratiques en matière de pare-feu Dans Windows Vista et Windows Server 2008, le partage de fichiers est désactivé par défaut.

9 BulletinWindows Update Microsoft Update MBSA 2.1WSUS 2.0 / WSUS 3.0 SMS avec Feature Pack SUS SMS avec Outil d'inventaire des mises à jour SCCM 2007 MS09-001Oui Oui 1 Oui 1.SMS avec Feature Pack SUS et SMS 2.0 prennent uniquement en charge Windows 2000 SP4, Windows Server 2003 SP1 et SP2, Windows XP SP1 et SP2 pour cette publication. Détection et déploiement BulletinRedémarrage requisHotPatchingDésinstallationRemplace MS09-001 OuiNon applicable OuiMS08-063

10 Article de la Base de connaissances TitreDistribution KB905866Mise à jour du filtre de courrier indésirable Windows Mail Catalogue, AutoUpdates, WSUS KB890830Windows Malicious Software Removal Tool Catalogue, AutoUpdates, WSUS Janvier 2009 - Mises à jour non relatives à la sécurité

11 Win32/Conficker Symptômes Plusieurs comptes Administrateurs et/ou Utilisateurs sont verrouillés Plusieurs services importants sont arrêtés et désactivés (AU, BITS…) Accès impossible à Microsoft Update et à certains sites Web d'éditeurs antivirus Problèmes liés à Svchost Vecteurs d'attaque possibles Vulnérabilité liée à MS08-067 Partages de fichiers ouverts Ressources réseau accessibles à lutilisateur connecté Ressources réseau protégées par des mots de passe faibles Périphériques amovibles ou lecteurs réseaux (autorun) Prévention Maintenir les systèmes à jour Activer un pare-feu local sur les machines Utiliser des mots de passe complexes Faire preuve de prudence lors de la réception de messages, fichiers ou en naviguant sur Internet. Plus dinformations sur le Microsoft Malware Protection Portal (en anglais) : http://www.microsoft.com/security/portal/Entry.aspx?Name=Worm%3aWin32%2fConficker.B

12 Win32/Conficker Avant toute chose, supprimer les vecteurs de propagation (cf. écran précédent) ! Suppression Antivirus à jour (si efficace pour Win32/Conficker) Par déploiement de lOutil de suppression des logiciels malveillants (MSRT) http://www.microsoft.com/france/securite/malwareremove Win32/Conficker désactive lagent des Mises à jour automatiques : suivre KB891716 http://support.microsoft.com/kb/891716 http://support.microsoft.com/kb/891716 Procédure manuelle en ligne sur http://blogs.technet.com/mathieum http://blogs.technet.com/mathieum

13 Windows Malicious Software Removal Tool Ajoute la possibilité de supprimer : Win32/Banload Win32/Conficker Disponible en tant que mise à jour prioritaire sous Windows Update et Microsoft Update : Disponible par WSUS 2.0 et WSUS 3.0 Disponible en téléchargement à l'adresse suivante : www.microsoft.com/france/securite/malwareremove Consultez les dernières informations sur le contexte des menaces dans le Rapport sur les données de sécurité : www.microsoft.com/france/sir

14 Ressources Synthèse des Bulletins de sécurité http://www.microsoft.com/france/technet/security/bulletin/ms09-jan.mspx Bulletins de sécurité http://www.microsoft.com/france/technet/security/bulletin Webcast des Bulletins de sécurité http://www.microsoft.com/france/technet/security/bulletin/webcasts.mspx Avis de sécurité http://www.microsoft.com/france/technet/security/advisory Abonnez-vous à la synthèse des Bulletins de sécurité (en français) http://www.microsoft.com/france/securite/newsletters.mspx Blog du MSRC (Microsoft Security Response Center) http://blogs.technet.com/msrc Microsoft France sécurité http://www.microsoft.com/france/securite TechNet sécurité http://www.microsoft.com/france/technet/security

15 Informations légales LOBJET DU PRESENT DOCUMENT EST DE VOUS FOURNIR LINFORMATION QUE VOUS AVEZ DEMANDEE CONCERNANT LA SECURITE. GENERALEMENT, LINFORMATION PROVOQUE UNE PRISE DE CONSCIENCE AUTOUR DE LA SECURITE ET IDENTIFIE LE PERSONNEL, LES PROCEDES, RESSOURCES ET TECHNOLOGIES QUI SONT DESTINES A PROMOUVOIR DE BONNES REGLES DE SECURITE DANS VOTRE ORGANISATION. LES VIRUS ET AUTRES TECHNOLOGIES NUISIBLES DESTINES A ATTAQUER VOTRE ENVIRONNEMENT INFORMATIQUE CHANGENT CONTINUELLEMENT AFIN DE CONTOURNER LES MESURES DE SECURITE EXISTANTES. DES LORS, MAINTENIR UN ENVIRONNEMENT INFORMATIQUE FIABLE EST UN PROCESSUS CONTINU QUI EXIGE QUE VOUS MAINTENIEZ UN PERSONNEL, DES PROCEDES, RESSOURCES ET TECHNOLOGIES ADEQUATS AFIN DE VOUS PROTEGER CONTRE TOUTE ATTEINTE A LA SECURITE. AUCUNE DISPOSITION CONTENUE DANS LES PRESENTES NE DOIT ETRE INTERPRETEE OU CONSIDEREE COMME UNE CERTIFICATION, UNE GARANTIE OU TOUTE AUTRE FORME DE VALIDATION QUE VOTRE ENVIRONNEMENT INFORMATIQUE EST ET DEMEURERA PROTEGE CONTRE DES ATTEINTES A LA SECURITE ET NOUS NASSUMONS AUCUNE RESPONSABILITE POUR TOUTE ATTEINTE A LA SECURITE OU TOUT DOMMAGE OU PERTE SUBSEQUENT. TOUTES COMMUNICATIONS OU TRANSMISSIONS DINFORMATION QUI VOUS SONT ADRESSEES AU SUJET DE MICROSOFT ET CONCERNANT LA SECURITE INCLUANT NOTAMMENT TOUTES SUGGESTIONS, ANALYSES, OU COMMENTAIRES QUI VOUS SONT FOURNIS DURANT UNE ANALYSE RELATIVE A LA SECURITE OU TOUTE AUTRE INFORMATION PASSEE, PRESENTE OU FUTURE RELATIVE NOTAMMENT AUX TESTS DE SECURITE, EVALUATIONS, DISPONIBILITES, HORAIRES OU OBJECTIFS (CI-APRES COLLECTIVEMENT DENOMMES « INFORMATIONS SUR LA SECURITE »), SONT FOURNIS CONFORMEMENT AUX CONDITIONS DU CONTRAT DE SERVICE EXISTANT ENTRE VOUS ET MICROSOFT ET UNIQUEMENT AFIN DE VOUS PERMETTRE DE VOUS ORGANISER FACE A DEVENTUELS PROBLEMES DE SECURITE. TOUTES LES INFORMATIONS SUR LA SECURITE CONTIENNENT TOUTES LES DONNEES QUI NOUS SONT ACTUELLEMENT ACCESSIBLES MAIS QUI SONT SUSCEPTIBLES DE CHANGER EN RAISON DU CHANGEMENT CONSTANT DE CES DONNEES SANS QUE MICROSOFT VOUS AIT PREALABLEMENT INFORME DE CES CHANGEMENTS. NOUS VOUS RECOMMANDONS DONC DE VERIFIER REGULIEREMENT AUPRES DE NOUS ET SUR LE SITE INTERNET DE SECURITE SITUE A LADRESSE SUIVANTE WWW.MICROSOFT.COM/SECURITY SI LES INFORMATIONS QUE NOUS VOUS AVONS FOURNIES FONT LOBJET DE MISES A JOUR. VEUILLEZ NOUS CONTACTER SI VOUS AVEZ DAUTRES QUESTIONS CONCERNANT DES PROBLEMES DE SECURITE OU SI VOUS AVEZ BESOIN DUNE MISE A JOUR DES INFORMATIONS QUE NOUS VOUS AVONS FOURNIES.WWW.MICROSOFT.COM/SECURITY