Bulletins de Sécurité Microsoft avril 2007 11 avril 2007 M France Direction Technique et Sécurité.

Présentation au sujet: "Bulletins de Sécurité Microsoft avril 2007 11 avril 2007 M France Direction Technique et Sécurité."— Transcription de la présentation:

1 Bulletins de Sécurité Microsoft avril 2007 11 avril 2007 M France Direction Technique et Sécurité

2 Bienvenue ! Présentation des bulletins d'avril > Information concernant MS07-017 > Nouveaux bulletins de sécurité > Mise à jour non relatives à la sécurité Informations connexes > WSUSSCAN.CAB > Windows Malicious Software Removal Tool Ressources Questions - Réponses

3 Bulletins de Sécurité - avril 2007 Résumé Nouveaux bulletins de sécurité > Critique : 4 > Important : 1

4 Questions - Réponses Vous pouvez poser vos questions en indiquant le numéro du bulletin concerné et en utilisant le bouton “Poser une question”

5 Bulletins de Sécurité - avril 2007 Présentation NuméroTitreIndice de gravité maximal Produits affectés MS07-017 Des vulnérabilités dans Graphics Device Interface (GDI) pourraient permettre l'exécution de code à distance (925902) CritiqueToutes versions de Windows en cours de support MS07-018 Des vulnérabilités dans Microsoft Content Management Server pourraient permettre l'exécution de code à distance (925939) CritiqueContent Management Server 2001 et Content Management Server 2002 MS07-019 Une vulnérabilité dans Universal Plug and Play (UPnP) pourrait permettre l'exécution de code à distance (931261) CritiqueWindows XP SP2 seulement MS07-020 Une vulnérabilité dans Microsoft Agent pourrait permettre l'exécution de code à distance (932168) CritiqueWindows 2000, Windows XP et Windows Server 2003 MS07-021 Des vulnérabilités dans CSRSS pourraient permettre l'exécution de code à distance (930178) CritiqueToutes versions de Windows en cours de support MS07-022Une vulnérabilité dans le noyau Windows pourrait permettre une élévation de privilèges (931784) ImportantWindows 2000, Windows XP et Windows Server 2003

6 Bulletins de Sécurité - avril 2007 Résumé des niveaux de criticité Numéro Windows 2000 SP4Windows XP SP2Windows Server 2003, Windows Server 2003 SP1 Windows Server 2003 SP2 Windows Vista MS07-017 Critique MS07-019 Non concernéCritiqueNon concerné MS07-020 Critique ModéréNon concerné MS07-021 Critique MS07-022 Important Non concerné Content Management Server 2001 Content Management Server 2002 MS07-018 Critique

7 MS07-017 - Information Problème signalé de façon responsable le 20 décembre 2006 Premières attaques signalées par McAfee le 28 mars 2007 Avis de sécurité Microsoft 935423 publié le 29 mars 2007 Publication hors cycle annoncée le 1er avril 2007 Publication le 3 avril 2007 > Problème RealTek décrit en détail dans l'Article 925902 de la Base de connaissances Microsoft Article 925902 de la Base de connaissances Microsoft mis à jour le 6 avril 2007 pour signaler des applications affectées supplémentaires > ElsterFormular, TUGZip, CD-Tag Correctif publié au travers de Windows Update, Microsoft Update, Mises à jour automatiques pour les utilisateurs ayant ces applications et MS07-017 installés.

8 MS07-018 – Des vulnérabilités dans Microsoft Content Management Server pourraient permettre l'exécution de code à distance (925939) – Critique (1/2) Vulnérabilités1 vulnérabilité d'exécution de code à distance due à une corruption mémoire dans la gestion des requêtes HTTP, 1 vulnérabilité de divulgation d'informations et d'usurpation de contenu liée à une vulnérabilité de script inter-sites (XSS ou cross-site scripting). Vecteurs d'attaque possibles Vulnérabilité de corruption de la mémoire dans Microsoft Content Management Server (CMS) - CVE-2007-0938 : L'attaquant crée une requête HTTP GET spécifique L'attaquant envoie la requête à un système vulnérable Vulnérabilité d'usurpation de contenu et de script inter-sites (cross-site scripting) dans Microsoft Content Management Server (CMS) - CVE-2007-0939 : L'attaquant crée un lien hypertexte spécifique L'attaquant insère le lien hypertexte dans une page Web ou l'envoie par email. L'attaquant persuade l'utilisateur de consulter le site Web ou d'ouvrir l'email et de cliquer sur le lien Impact Vulnérabilité de corruption de la mémoire dans Microsoft Content Management Server (CMS) - CVE-2007-0938 : Exécution de code dans le contexte du compte Système local Vulnérabilité d'usurpation de contenu et de script inter-sites (cross-site scripting) dans Microsoft Content Management Server (CMS) - CVE-2007-0939 : Exécution de script dans le contexte de l'utilisateur connecté

9 MS07-018 – Des vulnérabilités dans Microsoft Content Management Server pourraient permettre l'exécution de code à distance (925939) – Critique (2/2) Facteurs atténuants Vulnérabilité de corruption de la mémoire dans Microsoft Content Management Server (CMS) - CVE-2007-0938 : Dans Microsoft Internet Information Services 6.0, le processus de travail W3WP.exe est par défaut un processus à faible privilège s'exécutant en tant que Compte de service réseau. Les clients qui ont configuré les sites Web Microsoft Content Management Server (MCMS) dans leurs propres pools d'applications pour les isoler des autres sites Web pourraient limiter l'impact d'une attaque. Vulnérabilité d'usurpation de contenu et de script inter-sites (cross-site scripting) dans Microsoft Content Management Server (CMS) - CVE-2007-0939 : La vulnérabilité ne peut être exploitée automatiquement. L'utilisateur doit visiter un site malveillant manuellement ou en cliquant sur un lien dans un email ou dans un message instantané. Pour qu'une attaque aboutisse, il faudrait que l'utilisateur contraint par l'attaquant à cliquer sur le lien spécialement conçu ait accès au serveur Web CMS. Script s'exécutant dans le contexte de l'utilisateur : limitations liées aux privilèges de l'utilisateur L’option d'Internet Explorer « Ne pas enregistrer les pages chiffrées sur le disque » protège contre l’introduction de contenu usurpé dans le cache du client, s’ils ont accédé à leur site Web via le protocole SSL (Secure Sockets Layer). Les clients qui utilisent des connexions protégées par SSL pour accéder aux sites Web affectés ne sont pas vulnérables aux tentatives d’introduction de contenu usurpé dans les caches de serveurs proxy intermédiaires. Si l’attaquant parvenait à introduire un contenu usurpé dans le cache d’un serveur proxy intermédiaire, il lui serait difficile de prévoir quels utilisateurs pourraient recevoir ce contenu usurpé.

10 MS07-019 – Une vulnérabilité dans Universal Plug and Play (UPnP) pourrait permettre l'exécution de code à distance (931261) – Critique Vulnérabilité1 vulnérabilité d'exécution de code à distance liée au traitement des requêtes HTTP dans UPnP. Vecteurs d'attaque possibles L'attaquant crée une requête HTTP spécifique L'attaquant envoie la requête à un système vulnérable ImpactExécution de code dans le contexte du compte Service local. Facteurs atténuants Un attaquant qui parviendrait à exploiter cette vulnérabilité pourrait exécuter du code dans le contexte du compte Service local et non pas sous le compte Système local. Les meilleures pratiques en matière de pare-feu contribuent à protéger contre les attaques depuis Internet.

11 MS07-020 – Une vulnérabilité dans Microsoft Agent pourrait permettre l'exécution de code à distance (932168) – Critique VulnérabilitéUne vulnérabilité d'exécution de code à distance dans la façon dont Microsoft Agent traite les URL. Vecteurs d'attaque possibles L'attaquant crée une page Web malveillante. L'attaquant poste la page sur un site Web ou l'envoie par email au format HTML L'attaquant persuade l'utilisateur de consulter le site Web ou d'ouvrir l'email ImpactExécution de code dans le contexte de l'utilisateur Facteurs atténuants Limitations en vigueur sur le compte de l'utilisateur La vulnérabilité ne peut être exploitée automatiquement. L'utilisateur doit visiter un site malveillant manuellement ou en cliquant sur un lien dans un email ou dans un message instantané. Par défaut, les versions en cours de support d'Outlook et d'Outlook Express ouvrent les messages au format HTML dans la zone Sites sensibles, ce qui contribue à réduire les attaques qui tenteraient d’exploiter cette vulnérabilité. Sur Windows Server 2003, la Configuration de sécurité améliorée d'Internet Explorer aide à réduire ce risque en modifiant de nombreux paramètres liés à la sécurité. Internet Explorer 7 permet de bloquer les vecteurs d'attaque concernant cette vulnérabilité.

12 MS07-021 – Des vulnérabilités dans CSRSS pourraient permettre l'exécution de code à distance (930178) – Critique Vulnérabilités1 vulnérabilité d'exécution de code à distance, 1 vulnérabilité d'élévation de privilèges et 1 vulnérabilité de déni de service Vecteurs d'attaque possibles Attaque locale : L'attaquant crée une application spécifique L'attaquant ouvre une session au niveau local sur le système L'attaquant charge l'application L'attaquant exécute l'application Attaque Web : L'attaquant crée une page Web malveillante. L'attaquant poste la page sur un site Web ou l'envoie par email au format HTML L'attaquant persuade l'utilisateur de consulter le site Web ou d'ouvrir l'email ImpactExécution de code dans le contexte du compte Système local, élévation de privilèges Facteurs atténuants Les attaques locales nécessitent de pouvoir ouvrir une session locale, de charger et d'exécuter un programme choisi par l'attaquant La vulnérabilité ne peut être exploitée automatiquement. L'utilisateur doit visiter un site malveillant manuellement ou en cliquant sur un lien dans un email ou dans un message instantané. Informations connexes Résout le problème décrit sur le blog du MSRC le 22 décembre 2006 : http://blogs.technet.com/msrc/archive/2006/12/22/new-report-of-a-windows-vulnerability.aspx Vulnérabilité signalée publiquement comme élévation de privilèges : les analyses menées en interne ont montré la possibiltié d'exécution de code.

13 MS07-022 – Une vulnérabilité dans le noyau Windows pourrait permettre une élévation de privilèges (931784) – Important VulnérabilitéUne vulnérabilité d'élévation de privilèges liée à des autorisations erronées sur un segment de mémoire mappé. Vecteurs d'attaque possibles L'attaquant crée une application spécifique L'attaquant ouvre une session au niveau local sur le système L'attaquant charge l'application L'attaquant exécute l'application ImpactÉlévation de privilèges Facteurs atténuants Les attaques nécessitent de pouvoir ouvrir une session locale, de charger et d'exécuter un programme choisi par l'attaquant

14 Détection et déploiement pour Windows Vista Pris en charge > Windows Update > Microsoft Update > MBSA 2.1 Beta (à distance uniquement) > MBSA 2.0.1 (à distance uniquement) > WSUS > SMS 2003 avec ITMU V3 Non pris en charge > Software Update Services > MBSA 1.2.1 > Outil d'inventaire des mises à jour de sécurité pour SMS (SUIT) > SMS 2003 avec ITMU antérieur à V3

15 Détection et déploiement WinUpdate, SUS, AutoUpdates Office Update et Outil d'inventaire des mises à jour d'Office pour SMS MBSA 1.2 et Outil d'inventaire des mises à jour de sécurité pour SMS (SUIT) Outil d'analyse des mises à jour pour entreprise (EST) et Outils d'analyse des mises à jour de sécurité SMS MSUpdate/WSUS/Auto Updates, Outil d'inventaire SMS 2003 et MBSA 2.0 MS07-017 Oui- - MS07-018 NonContent Management Server 2001 -Content Management Server 2002 seulement MS07-019 Oui- - MS07-020 Oui- - MS07-021 Oui- - MS07-022 Oui- -

16 Informations de mise à jour (suite) Bulletin Rédémarrage requis HotPatchingDésinstallationRemplace MS07-017 OuiNonOui- MS07-018 Éventuel-Oui- MS07-019 Oui- - MS07-020 OuiNonOui- MS07-021 Oui- - MS07-022 Oui- MS06-049

17 Avril 2007 - Mises à jour non relatives à la sécurité NuméroTitreDistribution 929399Mise à jour WindowsWinUpdate, MSUpdate 935448Correctif pour MS07-017 Fourni uniquement aux systèmes où sont installés MS07-017 et les applications suivantes : Realtek HD Audio Control Panel ElsterFormular 2006/2007 TUGZip CD-Tag WinUpdate, MSUpdate 932330Mise à jour du filtre de courrier indésirable Outlook 2003 MSUpdate 932338Mise à jour du filtre de courrier indésirable Outlook 2003 MSUpdate

18 WSUSSCAN.CAB Nouvelle architecture WSUSSCAN.CAB depuis novembre 2006 > Utilisateurs de l'outil d'inventaire SMS : téléchargez et déployez la version mise à jour de l'outil d'inventaire SMS. > Utilisateurs de l'analyse hors ligne de MBSA 2.0 : téléchargez et déployez la version mise à jour de MBSA 2.0. > Pour plus d'informations, consultez l'Article 926464 de la Base de connaissances Microsoft. http://support.microsoft.com/kb/926464 Le support pour l'ancienne architecture WSUSSCAN.CAB a pris fin en mars 2007. MS07-017 et les bulletins d'avril ne sont pas pris en charge par l'ancienne architecture

19 Windows Malicious Software Removal Tool Ajoute la possibilité de supprimer : > Win32/Funner Disponible en tant que mise à jour prioritaire sous Windows Update et Microsoft Update pour les utilisateurs de Windows XP et Windows Vista. > Disponible par WSUS. Non disponible par SUS 1.0. Également disponible en téléchargement à http://www.microsoft.com/france/securite/malwareremove/default.mspx

20 Ressources Webcast des bulletins de sécurité de mai 2007 Résumé des bulletins de sécurité http://www.microsoft.com/france/technet/security/bulletin/ms07-apr.mspx Bulletins de sécurité http://www.microsoft.com/france/technet/security/bulletin Programme de conseils sécurité Microsoft : Glossaire http://www.microsoft.com/france/technet/security/bulletin/glossary.mspx Avis de sécurité http://www.microsoft.com/france/technet/security/advisory Blog du MSRC (Microsoft Security Response Center) http://blogs.technet.com/msrc Notifications http://www.microsoft.com/france/securite/newsletters.mspx TechNet Radio (en anglais) http://www.microsoft.com/tnradio Microsoft France sécurité http://www.microsoft.com/france/securite Lettre d'information mensuelle http://www.microsoft.com/france/securite/newsletters.mspx TechNet sécurité http://www.microsoft.com/france/technet/security

21 Informations légales L’OBJET DU PRESENT DOCUMENT EST DE VOUS FOURNIR L’INFORMATION QUE VOUS AVEZ DEMANDEE CONCERNANT LA SECURITE. GENERALEMENT, L’INFORMATION PROVOQUE UNE PRISE DE CONSCIENCE AUTOUR DE LA SECURITE ET IDENTIFIE LE PERSONNEL, LES PROCEDES, RESSOURCES ET TECHNOLOGIES QUI SONT DESTINES A PROMOUVOIR DE BONNES REGLES DE SECURITE DANS VOTRE ORGANISATION. LES VIRUS ET AUTRES TECHNOLOGIES NUISIBLES DESTINES A ATTAQUER VOTRE ENVIRONNEMENT INFORMATIQUE CHANGENT CONTINUELLEMENT AFIN DE CONTOURNER LES MESURES DE SECURITE EXISTANTES. DES LORS, MAINTENIR UN ENVIRONNEMENT INFORMATIQUE FIABLE EST UN PROCESSUS CONTINU QUI EXIGE QUE VOUS MAINTENIEZ UN PERSONNEL, DES PROCEDES, RESSOURCES ET TECHNOLOGIES ADEQUATS AFIN DE VOUS PROTEGER CONTRE TOUTE ATTEINTE A LA SECURITE. AUCUNE DISPOSITION CONTENUE DANS LES PRESENTES NE DOIT ETRE INTERPRETEE OU CONSIDEREE COMME UNE CERTIFICATION, UNE GARANTIE OU TOUTE AUTRE FORME DE VALIDATION QUE VOTRE ENVIRONNEMENT INFORMATIQUE EST ET DEMEURERA PROTEGE CONTRE DES ATTEINTES A LA SECURITE ET NOUS N’ASSUMONS AUCUNE RESPONSABILITE POUR TOUTE ATTEINTE A LA SECURITE OU TOUT DOMMAGE OU PERTE SUBSEQUENT. TOUTES COMMUNICATIONS OU TRANSMISSIONS D’INFORMATION QUI VOUS SONT ADRESSEES AU SUJET DE MICROSOFT ET CONCERNANT LA SECURITE INCLUANT NOTAMMENT TOUTES SUGGESTIONS, ANALYSES, OU COMMENTAIRES QUI VOUS SONT FOURNIS DURANT UNE ANALYSE RELATIVE A LA SECURITE OU TOUTE AUTRE INFORMATION PASSEE, PRESENTE OU FUTURE RELATIVE NOTAMMENT AUX TESTS DE SECURITE, EVALUATIONS, DISPONIBILITES, HORAIRES OU OBJECTIFS (CI-APRES COLLECTIVEMENT DENOMMES « INFORMATIONS SUR LA SECURITE »), SONT FOURNIS CONFORMEMENT AUX CONDITIONS DU CONTRAT DE SERVICE EXISTANT ENTRE VOUS ET MICROSOFT ET UNIQUEMENT AFIN DE VOUS PERMETTRE DE VOUS ORGANISER FACE A D’EVENTUELS PROBLEMES DE SECURITE. TOUTES LES INFORMATIONS SUR LA SECURITE CONTIENNENT TOUTES LES DONNEES QUI NOUS SONT ACTUELLEMENT ACCESSIBLES MAIS QUI SONT SUSCEPTIBLES DE CHANGER EN RAISON DU CHANGEMENT CONSTANT DE CES DONNEES SANS QUE MICROSOFT VOUS AIT PREALABLEMENT INFORME DE CES CHANGEMENTS. NOUS VOUS RECOMMANDONS DONC DE VERIFIER REGULIEREMENT AUPRES DE NOUS ET SUR LE SITE INTERNET DE SECURITE SITUE A L’ADRESSE SUIVANTE WWW.MICROSOFT.COM/SECURITY SI LES INFORMATIONS QUE NOUS VOUS AVONS FOURNIES FONT L’OBJET DE MISES A JOUR. VEUILLEZ NOUS CONTACTER SI VOUS AVEZ D’AUTRES QUESTIONS CONCERNANT DES PROBLEMES DE SECURITE OU SI VOUS AVEZ BESOIN D’UNE MISE A JOUR DES INFORMATIONS QUE NOUS VOUS AVONS FOURNIES.WWW.MICROSOFT.COM/SECURITY