Bulletins de Sécurité Microsoft Janvier 2012 Ramin Barreto – Patrick Chuzel – Philippe Vialle CSS Security EMEA Bruno Sorcelle – Ahmed Neggaz Technical.

Présentation au sujet: "Bulletins de Sécurité Microsoft Janvier 2012 Ramin Barreto – Patrick Chuzel – Philippe Vialle CSS Security EMEA Bruno Sorcelle – Ahmed Neggaz Technical."— Transcription de la présentation:

1 Bulletins de Sécurité Microsoft Janvier 2012 Ramin Barreto – Patrick Chuzel – Philippe Vialle CSS Security EMEA Bruno Sorcelle – Ahmed Neggaz Technical Account Manager

2 Bienvenue ! Présentation des bulletins de Janvier 2012 7 Nouveaux bulletins de Sécurité 1 Critique 6 Importants 1 bulletin mis à jour Mises à jour Non relatives à la sécurité Informations connexes : Microsoft® Windows® Malicious Software* Removal Tool Autres informations Ressources Questions - Réponses : Envoyez dès maintenant ! * Malicious software (logiciel malveillant)

3 Questions - Réponses À tout moment pendant la présentation, posez vos questions : 1.Ouvrez l’interface et cliquez dans sur l’espace messagerie instantanée 2.Précisez le numéro du Bulletin, entrez votre question

4 BulletinN°ArticleLogicielAffectéComposantAffecté Indice de gravité Priorité de déploiement Max. Exploit Index Rating Révélé publiquem ent MS12-001 2644615 WindowsKernelImportant31Non MS12-002 2603381 WindowsWindows Object PackagerImportant21Non MS12-003 2646524 WindowsCSRSSImportant21Non MS12-004 2636391 WindowsDirectShow & Multimedia LibraryCritique11Non MS12-005 2584146 WindowsWindows PackagerImportant21Non MS12-006 2643584 WindowsSSL/TLSImportant23Oui MS12-007 2607664 WindowsAntiXSS LibraryImportant33Non Bulletins de Sécurité de Janvier 2012 1 - Possibilité de code d’exploitation fonctionnel | 2 - Possibilité de code d’exploitation peu fonctionnel | 3 - Faible possibilité de code d’exploitation fonctionnel | * Non concerné Index d’exploitabilité : 1 - Possibilité de code d’exploitation fonctionnel | 2 - Possibilité de code d’exploitation peu fonctionnel | 3 - Faible possibilité de code d’exploitation fonctionnel | * Non concerné

5 MS12-001 : Introduction et indices de gravité NuméroTitre Indice de gravité maximal Produits affectés MS12-001 Une vulnérabilité dans le noyau Windows pourrait permettre un contournement du composant de sécurité (2644615) Important Windows XP x64 Windows Server 2003 (Toutes les versions supportées) Windows Vista (Toutes les versions supportées) Windows Server 2008 (Toutes les versions supportées) Windows 7 (Toutes les versions supportées Windows Server 2008 R2 (Toutes les versions supportées)

6 MS12-001 : Une vulnérabilité dans le noyau Windows pourrait permettre un contournement du composant de sécurité (2644615) - Important VulnérabilitéVulnérabilité de contournement de composant de sécurité CVE-2012-0001 Vecteurs d'attaque possibles Une application spécialement conçue ImpactUn attaquant qui parviendrait à exploiter cette vulnérabilité pourrait contourner le composant de sécurité SafeSEH dans une application logicielle. Un attaquant pourrait alors utiliser d'autres vulnérabilités pour exploiter le gestionnaire d'exceptions structuré afin de faciliter une exécution de code arbitraire (sur une autre vulnérabilité d’un composant système) Facteurs atténuantsSeules les applications logicielles qui ont été compilées avec Microsoft Visual C++.NET 2003 peuvent être utilisées pour exploiter cette vulnérabilité. Contournement Recompiler le logiciel à l'aide d' une version plus récente de Microsoft Visual C++ (2005, 2008 ou 2010) Activer la protection SEHOP (Structured Exception Handling Overwrite Protection) Informations complémentaires Cette vulnérabilité n’a pas été révélée publiquement avant la publication de ce bulletin. À la publication de ce bulletin, Nous n'avons pas connaissance d'attaques ou de code d'exploitation

7 MS12-002 : Introduction et indices de gravité NuméroTitre Indice de gravité maximal Produits affectés MS12-002 Une vulnérabilité dans le Gestionnaire de liaisons Windows pourrait permettre l'exécution de code à distance (2603381) Important Windows XP (Toutes les versions supportées) Windows Server 2003 (Toutes les versions supportées)

8 MS12-002 : Une vulnérabilité dans le Gestionnaire de liaisons Windows pourrait permettre l'exécution de code à distance (2603381) - Important VulnérabilitéVulnérabilité d'exécution de code à distanceCVE-2012-0009 Vecteurs d'attaque possibles Un fichier légitime avec un objet lié incorporé et un fichier exécutable spécialement conçu sur un partage réseau, un emplacement UNC ou WebDAV ImpactUn attaquant pourrait exécuter du code arbitraire dans le contexte de l'utilisateur connecté. Facteurs atténuantsPour qu'une attaque aboutisse, un utilisateur doit visiter l'emplacement d'un système de fichiers distant ou un partage WebDAV non fiable et ouvrir un fichier légitime. Le protocole de partage de fichiers, SMB (Server Message Block), est souvent désactivé sur le pare- feu de périmètre. Cela permet de limiter les vecteurs d'attaque potentiels pour cette vulnérabilité. Un attaquant parvenant à exploiter cette vulnérabilité pourrait obtenir les mêmes droits que l'utilisateur connecté. ContournementDésactiver le service WebClient Bloquer les ports TCP 139 et 445 au niveau du pare-feu Enregistrer packager.exe avec un chemin complet Informations complémentaires Cette vulnérabilité n’a pas été révélée publiquement avant la publication de ce bulletin. À la publication de ce bulletin, nous n'avons pas connaissance d'attaques ou de code d'exploitation.

9 MS12-003 : Introduction et indices de gravité NuméroTitre Indice de gravité maximal Produits affectés MS12-003 Une vulnérabilité dans le processus CSRSS (Client-Server Run- time Subsystem) Windows pourrait permettre une élévation de privilèges (2646524) Important Windows XP (Toutes les versions supportées) Windows Server 2003 (Toutes les versions supportées) Windows Vista (Toutes les versions supportées) Windows Server 2008 (Toutes les versions supportées)

10 MS12-003 : Une vulnérabilité dans le processus CSRSS (Client-Server Run-time Subsystem) Windows pourrait permettre une élévation de privilèges (2646524) - Important VulnérabilitéVulnérabilité d'élévation de privilègesCVE-2012-0005 Vecteurs d'attaque possibles Un attaquant doit d'abord ouvrir une session sur le système. L'attaquant pourra alors exécuter une application spécialement conçue ImpactUn attaquant qui parviendrait à exploiter cette vulnérabilité pourrait prendre le contrôle intégral du système affecté. Facteurs atténuantsUn attaquant doit disposer d'informations d'identification valides pour ouvrir une session localement ou à distance. Cette vulnérabilité peut être uniquement exploitée sur les systèmes dont les paramètres régionaux sont définis sur chinois, japonais ou coréen. ContournementMicrosoft n'a identifié aucune solution de contournement pour cette vulnérabilité. Informations complémentaires Cette vulnérabilité n’a pas été révélée publiquement avant la publication de ce bulletin. À la publication de ce bulletin, Nous n'avons pas connaissance d'attaques ou de code d'exploitation.

11 MS12-004 : Introduction et indices de gravité NuméroTitre Indice de gravité maximal Produits affectés MS12-004 Des vulnérabilités dans Windows Media pourraient permettre l'exécution de code à distance (2636391) Critique Windows XP (Toutes les versions supportées) Windows XP Édition Media Center 2005 Service Pack 3 Windows Server 2003 (Toutes les versions supportées) Windows Vista (Toutes les versions supportées) Windows Server 2008 SP2 (Toutes les versions supportées) Windows 7 (Toutes les versions supportées) sauf pour la Multimédia Library Windows Server 2008 R2 (Toutes les versions supportées) sauf pour la Multimédia Library Pack TV Windows Media Center pour Windows Vista (Toutes les versions supportées)

12 MS12-004 : Des vulnérabilités dans Windows Media pourraient permettre l'exécution de code à distance (2636391) - Critique VulnérabilitéVulnérabilités d’exécution de code à distanceCVE-2012-0003 CVE-2012-0004 Vecteurs d'attaque possibles Un site web spécialement conçu ImpactUn attaquant parvenant à exploiter cette vulnérabilité pourrait obtenir les mêmes droits que l'utilisateur connecté. Facteurs atténuantsTout attaquant parvenant à exploiter cette vulnérabilité pourrait obtenir les mêmes droits que l'utilisateur. Dans le cas d'une attaque Web, l'attaquant n'aurait aucun moyen de forcer l'utilisateur à visiter ces sites Web. Le fichier malveillant pourrait être envoyé en pièce jointe, mais l'attaquant devrait convaincre l'utilisateur d'ouvrir la pièce jointe. Dans le lecteur Windows Media 10, le lecteur Windows Media 11 et le lecteur Windows Media 12, les paramètres de sécurité du lecteur Windows Media bloquent l'affichage des sous-titres par défaut. (CVE-2012-0004) ContournementDésactiver le traitement des fichiers MIDI (CVE-2012-0003) Désactiver le filtre DirectShow Line21 (CVE-2012-0004) Informations complémentaires Ces vulnérabilités n’ont pas été révélées publiquement avant la publication de ce bulletin. À la publication de ce bulletin, Nous n'avons pas connaissance d'attaques ou de code d'exploitation.

13 MS12-005 : Introduction et indices de gravité NuméroTitre Indice de gravité maximal Produits affectés MS12-005 Une vulnérabilité dans Microsoft Windows pourrait permettre l'exécution de code à distance (2584146) Important Windows XP (Toutes les versions supportées) Windows Server 2003 (Toutes les versions supportées) Windows Vista (Toutes les versions supportées) Windows Server 2008 SP2 (Toutes les versions supportées) Windows 7 (Toutes les versions supportées) Windows Server 2008 R2 (Toutes les versions supportées)

14 MS12-005 : Une vulnérabilité dans Microsoft Windows pourrait permettre l'exécution de code à distance (2584146) - Important VulnérabilitéVulnérabilité d’exécution de code à distanceCVE-2012-0013 Vecteurs d'attaque possibles Un fichier Microsoft Office spécialement conçu ImpactCette vulnérabilité permet aux attaquants d'intégrer des programmes d'installation d'applications ClickOnce dans des documents Microsoft Office et d'exécuter du code sans intervention de l'utilisateur. Facteurs atténuantsLe fichier malveillant pourrait être envoyé en pièce jointe, mais l'attaquant devrait convaincre l'utilisateur d'ouvrir la pièce jointe. Tout attaquant parvenant à exploiter cette vulnérabilité pourrait obtenir les mêmes droits que l'utilisateur. Pour pouvoir être déployés sur un réseau, le manifeste de déploiement et le manifeste d'application d'un déploiement ClickOnce doivent tous deux être signés avec un certificat numérique. ContournementSupprimer l'association de fichier.application Informations complémentaires Cette vulnérabilité n’a pas été révélée publiquement avant la publication de ce bulletin. À la publication de ce bulletin, Nous n'avons pas connaissance d'attaques ou de code d'exploitation.

15 MS12-006 : Introduction et indices de gravité NuméroTitre Indice de gravité maximal Produits affectés MS12-006 Une vulnérabilité dans SSL/TLS pourrait permettre la divulgation d'informations (2643584) Important Windows XP (Toutes les versions supportées) Windows Server 2003 (Toutes les versions supportées) Windows Vista (Toutes les versions supportées) Windows Server 2008 SP2 (Toutes les versions supportées) Windows 7 (Toutes les versions supportées) Windows Server 2008 R2 (Toutes les versions supportées) Concerne l'Avis de sécurité Microsoft 2588513

16 MS12-006 : Une vulnérabilité dans SSL/TLS pourrait permettre la divulgation d'informations (2643584) - Important VulnérabilitéVulnérabilité de divulgation d'informationsCVE-2011-3389 Vecteurs d'attaque possibles Par écoute réseau, un attaquant pourrait espionner un trafic chiffré (avec CBC) à l’insu des protagonistes. ImpactUn attaquant qui surveille une communication chiffrée et qui réussit à exploiter cette vulnérabilité pourrait déchiffrer le trafic chiffré intercepté. Facteurs atténuantsTLS 1.1, TLS 1.2 et toutes les suites de code qui n'utilisent pas le mode CBC ne sont pas affectées. Forcer RC4 sur les serveurs. ContournementHiérarchiser l'algorithme RC4 dans le logiciel serveur sur les systèmes qui exécutent Windows Vista, Windows Server 2008, Windows 7 ou Windows Server 2008 R2 Activer TLS 1.1 et/ou 1.2 dans le logiciel client sur les systèmes qui exécutent Windows 7 ou Windows Server 2008 R2 Activer TLS 1.1 dans le logiciel serveur sur les systèmes qui exécutent Windows 7 ou Windows Server 2008 R2 Informations complémentaires Cette vulnérabilité a été révélée publiquement avant la publication de ce bulletin. À la publication de ce bulletin, Nous n'avons pas connaissance d'attaques mais nous avons connaissance de code d'exploitation.

17 MS12-007 : Introduction et indices de gravité NuméroTitre Indice de gravité maximal Produits affectés MS12-007 Une vulnérabilité dans la bibliothèque Anti- XSS pourrait permettre la divulgation d'informations (2607664) Important Bibliothèque Anti-Cross Site Scripting V3.x et bibliothèque Anti-Cross Site Scripting V4.0 de Microsoft

18 MS12-007 : Une vulnérabilité dans la bibliothèque Anti-XSS pourrait permettre la divulgation d'informations (2607664) - Important VulnérabilitéVulnérabilité de divulgation d'informationsCVE-2012-0007 Vecteurs d'attaque possibles Un attaquant pourrait envoyer un fichier HTML spécialement conçu à un site Web cible qui utilise le module de nettoyage de la bibliothèque Anti-XSS. ImpactUn attaquant qui parviendrait à exploiter cette vulnérabilité pourrait effectuer une attaque de script inter-sites (cross-site scripting ou XSS) sur un site Web qui utilise la bibliothèque Anti-XSS pour nettoyer les fichiers HTML fournis par l'utilisateur. Il pourrait alors transmettre un script malveillant via une fonction de nettoyage et exposer ainsi des informations ne devant pas être révélées. Facteurs atténuantsSeuls les sites qui utilisent le module de nettoyage de la bibliothèque Anti-XSS sont concernés par cette vulnérabilité. ContournementMicrosoft n'a identifié aucune solution de contournement pour cette vulnérabilité. Informations complémentaires Cette vulnérabilité n’a pas été révélée publiquement avant la publication de ce bulletin. À la publication de ce bulletin, Nous n'avons pas connaissance d'attaques ou de code d'exploitation.

19 Bulletin mis à jour

20 MS12-001 Oui MS12-002 MS12-003 MS12-004 MS12-005 MS12-006 MS12-007 Non OuiNon Détection et déploiement

21 Informations de mise à jour BulletinRedémarrage requisDésinstallationRemplace MS12-001 Oui Aucun MS12-002 PossibleOuiAucun MS12-003 Oui MS11-063 MS12-004 Oui MS10-033 MS12-005 PossibleOuiAucun MS12-006 Oui MS10-049, MS10-085, MS10-095 MS12-007 PossibleOuiAucun

22 Janvier 2012 - Mises à jour Non relatives à la sécurité ArticleTitleDistribution KB905866Update for Windows Mail Junk E-mail Filter The January 2012 release of the Windows Mail Junk E-mail Filter Catalog, AU, WSUS KB890830Windows Malicious Software Removal Tool The January 2012 release of the Windows Malicious Software Removal Tool Catalog, AU, WSUS KB2632503Update for Windows 7, Windows Server 2008 R2, Windows Server 2008, Windows Vista, Windows Server 2003, and Windows XP Install this update to resolve issues in Windows. After you install this item, you may have to restart your computer. Catalog, AU, WSUS KB2636573Update for Windows Server 2008 R2 x64 Edition Install this update to resolve issues in Windows Hyper-V. After you install this item, you may have to restart your computer. Catalog, AU, WSUS Info: KB894199 Description of Software Update Services and Windows Server Update Services changes in content for 2011 http://support.microsoft.com/kb/894199

23 Windows Malicious Software Removal Tool Ajoute la possibilité de supprimer :Win32/Sefnit A prevalent Trojan downloader with configurable payload controlled by a set of remote hosts Disponible en tant que mise à jour prioritaire sous Windows Update et Microsoft Update Disponible par WSUS 3.0 Disponible en téléchargement à l'adresse suivante : http://www.microsoft.com/france/securite/malwareremove http://www.microsoft.com/france/securite/malwareremove

24 Après le 10 janvier 2012 les produits ou Service Pack suivants ne sont plus supportés : SQL Server 2005 Service Pack 3 SQL Server 2005 Service Pack 3 Dynamics AX 3.0 Dynamics AX 3.0 Host Integration Server 2000 Host Integration Server 2000 Content Management Server 2001 Content Management Server 2001 Windows XP Shared Computer Toolkit Windows XP Shared Computer Toolkit Pour rappel…

25 Ressources Synthèse des Bulletins de sécurité http://technet.microsoft.com/fr-fr/security/bulletin/ms12-jan http://technet.microsoft.com/fr-fr/security/bulletin/ms12-jan Bulletins de sécurité http://technet.microsoft.com/fr-fr/security/bulletin http://technet.microsoft.com/fr-fr/security/bulletin Webcast des Bulletins de sécurité http://technet.microsoft.com/fr-fr/security/ http://technet.microsoft.com/fr-fr/security/ Avis de sécurité http://technet.microsoft.com/fr-fr/security/advisory http://technet.microsoft.com/fr-fr/security/advisory Abonnez-vous à la synthèse des Bulletins de sécurité (en français) http://www.microsoft.com/france/securite/newsletters.mspx http://www.microsoft.com/france/securite/newsletters.mspx Blog du MSRC (Microsoft Security Response Center) http://blogs.technet.com/msrc http://blogs.technet.com/msrc Microsoft France sécurité http://www.microsoft.com/france/securite http://www.microsoft.com/france/securite TechNet sécurité http://www.microsoft.com/france/technet/security http://www.microsoft.com/france/technet/security

26 Informations légales L’OBJET DU PRESENT DOCUMENT EST DE VOUS FOURNIR L’INFORMATION QUE VOUS AVEZ DEMANDEE CONCERNANT LA SECURITE. GENERALEMENT, L’INFORMATION PROVOQUE UNE PRISE DE CONSCIENCE AUTOUR DE LA SECURITE ET IDENTIFIE LE PERSONNEL, LES PROCEDES, RESSOURCES ET TECHNOLOGIES QUI SONT DESTINES A PROMOUVOIR DE BONNES REGLES DE SECURITE DANS VOTRE ORGANISATION. LES VIRUS ET AUTRES TECHNOLOGIES NUISIBLES DESTINES A ATTAQUER VOTRE ENVIRONNEMENT INFORMATIQUE CHANGENT CONTINUELLEMENT AFIN DE CONTOURNER LES MESURES DE SECURITE EXISTANTES. DES LORS, MAINTENIR UN ENVIRONNEMENT INFORMATIQUE FIABLE EST UN PROCESSUS CONTINU QUI EXIGE QUE VOUS MAINTENIEZ UN PERSONNEL, DES PROCEDES, RESSOURCES ET Technologies ADEQUATS AFIN DE VOUS PROTEGER CONTRE TOUTE ATTEINTE A LA SECURITE. AUCUNE DISPOSITION CONTENUE DANS LES PRESENTES NE DOIT ETRE INTERPRETEE OU CONSIDEREE COMME UNE CERTIFICATION, UNE GARANTIE OU TOUTE AUTRE FORME DE VALIDATION QUE VOTRE ENVIRONNEMENT INFORMATIQUE EST ET DEMEURERA PROTEGE CONTRE DES ATTEINTES A LA SECURITE ET NOUS N’ASSUMONS AUCUNE RESPONSABILITE POUR TOUTE ATTEINTE A LA SECURITE OU TOUT DOMMAGE OU PERTE SUBSEQUENT. TOUTES COMMUNICATIONS OU TRANSMISSIONS D’INFORMATION QUI VOUS SONT ADRESSEES AU SUJET DE MICROSOFT ET CONCERNANT LA SECURITE INCLUANT NOTAMMENT TOUTES SUGGESTIONS, ANALYSES, OU COMMENTAIRES QUI VOUS SONT FOURNIS DURANT UNE ANALYSE RELATIVE A LA SECURITE OU TOUTE AUTRE INFORMATION PASSEE, PRESENTE OU FUTURE RELATIVE NOTAMMENT AUX TESTS DE SECURITE, EVALUATIONS, DISPONIBILITES, HORAIRES OU OBJECTIFS (CI-APRES COLLECTIVEMENT DENOMMES « INFORMATIONS SUR LA SECURITE »), SONT FOURNIS CONFORMEMENT AUX CONDITIONS DU CONTRAT DE SERVICE EXISTANT ENTRE VOUS ET MICROSOFT ET UNIQUEMENT AFIN DE VOUS PERMETTRE DE VOUS ORGANISER FACE A D’EVENTUELS PROBLEMES DE SECURITE. TOUTES LES INFORMATIONS SUR LA SECURITE CONTIENNENT TOUTES LES DONNEES QUI NOUS SONT ACTUELLEMENT ACCESSIBLES MAIS QUI SONT SUSCEPTIBLES DE CHANGER EN RAISON DU CHANGEMENT CONSTANT DE CES DONNEES SANS QUE MICROSOFT VOUS AIT PREALABLEMENT INFORME DE CES CHANGEMENTS. NOUS VOUS RECOMMANDONS DONC DE VERIFIER REGULIEREMENT AUPRES DE NOUS ET SUR LE SITE INTERNET DE SECURITE SITUE A L’ADRESSE SUIVANTE WWW.MICROSOFT.COM/SECURITY SI LES INFORMATIONS QUE NOUS VOUS AVONS FOURNIES FONT L’OBJET DE MISES A JOUR. VEUILLEZ NOUS CONTACTER SI VOUS AVEZ D’AUTRES QUESTIONS CONCERNANT DES PROBLEMES DE SECURITE OU SI VOUS AVEZ BESOIN D’UNE MISE A JOUR DES INFORMATIONS QUE NOUS VOUS AVONS FOURNIES.WWW.MICROSOFT.COM/SECURITY