Bulletins de Sécurité Microsoftjanvier 2007

10 janvier 2007

Microsoft FranceDirection Technique et Sécurité

Bienvenue !

• Présentation des bulletins de janvier> Nouveaux bulletins de sécurité> Mise à jour non relatives à la sécurité

• Informations connexes> WSUSSCAN.CAB> Windows Malicious Software Removal Tool

• Ressources• Questions - Réponses

Bulletins de Sécurité - janvier 2007Résumé

• Nouveaux bulletins de sécurité> critique : 3> important : 1

Questions - Réponses

• Vous pouvez poser vos questions en indiquant le numéro du bulletin concerné et en utilisant le bouton “Poser une question”

Bulletins de Sécurité - janvier 2007 Présentation

Numéro Titre Indice de gravité maximal

Produits affectés

MS07-001

Une vulnérabilité liée au correcteur grammatical portugais brésilien dans Microsoft Office 2003 pourrait permettre l'exécution de code à distance (921585)

Important Office 2003, Project 2003, Visio 2003

MS07-002

Des vulnérabilités dans Microsoft Excel pourraient permettre l’exécution de code à distance (927198)

Critique Excel 2000, 2002, 2003, Excel pour Mac

MS07-003

Des vulnérabilités dans Microsoft Outlook pourraient permettre l’exécution de code à distance (925938)

Critique Outlook 2000, 2002, 2003

MS07-004

Une vulnérabilité dans le Vector Markup Language (VML) pourrait permettre l'exécution de code à distance (929969)

Critique Windows 2000, XP, 2003

Bulletins de Sécurité - janvier 2007Résumé des niveaux de criticité

Numéro Microsoft Office 2003 (version portugaise brésilienne)

Microsoft Office MUI 2003

Microsoft Project MUI 2003 et Microsoft Visio MUI 2003

MS07-001

Important Important Important

Microsoft Excel 2000

Microsoft Excel 2002

Microsoft Excel 2003 Microsoft Excel Viewer 2003

Microsoft Excel 2004, Excel X pour Mac

MS07-002

Critique Important Important Important Important

Microsoft Outlook 2000

Microsoft Outlook 2002

Microsoft Outlook 2003

MS07-003

Critique Important Important

Windows 2000 SP4

Windows XP SP2 Windows Server 2003 Windows Server 2003 SP1

Windows Vista

MS07-004

Critique Critique Critique Modéré Non concerné

MS07-001 – Une vulnérabilité liée au correcteur grammatical portugais brésilien dans Microsoft Office 2003 pourrait permettre l'exécution de code à distance (921585) – Important

Vulnérabilité Vulnérabilité d'exécution de code à distance dans le correcteur grammatical portugais brésilien lors du traitement d'un ensemble de caractères malformés.

Vecteurs d'attaque possibles

• L'attaquant crée une page Web malveillante.• L'attaquant poste la page sur un site Web ou l'envoie par email au format HTML• L'attaquant persuade l'utilisateur de consulter le site Web ou d'ouvrir l'email

Systèmes les plus exposés

Postes de travail et les serveurs Terminal Server

Impact Exécution de code dans le contexte de l'utilisateur

Facteurs atténuants • Limitations en vigueur sur le compte de l'utilisateur• La vulnérabilité ne peut être exploitée automatiquement. L'utilisateur doit visiter un site malveillant manuellement ou en cliquant sur un lien dans un email ou dans un message instantané.•Ne peut pas être exploitée automatiquement par le biais des messages électroniques. l'utilisateur doit ouvrir le fichier en pièce jointe.

MS07-002 – Des vulnérabilités dans Microsoft Excel pourraient permettre l’exécution de code à distance (927198) – Critique

Vulnérabilités Cinq vulnérabilités d'exécution de code lors du traitement de fichiers Excel comportant des données malformées.

Vecteurs d'attaque possibles

• L'attaquant crée un document Excel spécifique• L'attaquant poste le document sur un site Web ou l'envoie par email• L'attaquant persuade l'utilisateur de consulter le site Web ou d'ouvrir la pièce jointe

Systèmes les plus exposés

Postes de travail et les serveurs Terminal Server

Impact Exécution de code dans le contexte de l'utilisateur

Facteurs atténuants • Limitations en vigueur sur le compte de l'utilisateur• Excel 2002 ou Excel 2003 : Ne peut pas être exploitée automatiquement par le biais des messages électroniques. L'utilisateur doit ouvrir la pièce jointe à un email.• Excel 2002 ou Excel 2003 : Ne peut pas être exploitée automatiquement par le biais d'une page Web. L'utilisateur doit accepter les risques présentés par la boîte de dialogue d'avertissement.

> La boîte de dialogue ne s'affiche pas sous Office 2000.> La boîte de dialogue peut être ajoutée à Office 2000 en installant l'Outil de

confirmation à l'ouverture pour Office.• L'utilisateur doit visiter un site malveillant manuellement ou en cliquant sur un lien dans un email ou dans un message instantané. L'accès aux sites ne peut être automatisé.

MS07-003 – Des vulnérabilités dans Microsoft Outlook pourraient permettre l’exécution de code à distance (925938) – Critique

Vulnérabilités Vulnérabilité d'exécution de code lors du traitement de fichiers iCAL, vulnérabilité d'exécution de code lors du traitement de fichiers OSS (Office Saved Searches) malformés, vulnérabilité de déni de service lors du traitement d'entêtes de messages malformées.

Vecteurs d'attaque possibles

• L'attaquant crée un email ou un fichier OSS spécifique• L'attaquant envoie l'email à l'utilisateur• L'utilisateur affiche l'email dans Outlook ou ouvre le fichier OSS

Systèmes les plus exposés

Postes de travail et les serveurs Terminal Server

Impact Exécution de code dans le contexte de l'utilisateur

Facteurs atténuants • Limitations en vigueur sur le compte de l'utilisateur•Vulnérabilité VEVENT dans Microsoft Outlook - CVE-2007-0033 ne peut être exploitée par le biais de MAPI•Vulnérabilité VEVENT dans Microsoft Outlook - CVE-2007-0033 est une vulnérabilité de déni de service. L'email malformé peut être effacé par un administrateur ou en utilisant un autre client de messagerie (Outlook Web Access ou Outlook Express).•Vulnérabilité liée à la fonction Recherche avancée dans Microsoft Outlook - CVE-2007-0034 : La vulnérabilité ne peut être exploitée automatiquement. L'utilisateur doit visiter un site malveillant manuellement ou en cliquant sur un lien dans un email ou dans un message instantané. Ne peut pas être exploitée automatiquement par le biais des messages électroniques : l'utilisateur doit ouvrir le fichier en pièce jointe.

MS07-004 – Une vulnérabilité dans le Vector Markup Language (VML) pourrait permettre l'exécution de code à distance (929969) – Critique

Vulnérabilité Tampon non contrôlé dans l'implémentation du format VML (vgx.dll)

Vecteurs d'attaque possibles

• L'attaquant crée une page Web malveillante.• L'attaquant poste la page sur un site Web ou l'envoie par email au format HTML• L'attaquant persuade l'utilisateur de consulter le site Web ou d'ouvrir l'email

Systèmes les plus exposés

Postes de travail et les serveurs Terminal Server

Impact Exécution de code dans le contexte de l'utilisateur

Facteurs atténuants • Limitations en vigueur sur le compte de l'utilisateur• La vulnérabilité ne peut être exploitée automatiquement. L'utilisateur doit visiter un site malveillant manuellement ou en cliquant sur un lien dans un email ou dans un message instantané.•Lire les emails en mode texte brut aide à se protéger•Le risque est atténué dans Outlook Express sous Windows XP et Windows Server 2003 car le paramètre « Comportements de fichiers binaires et des scripts » y est positionné sur « Désactiver » par défaut dans la zone « Sites sensibles »•Sur Windows Server 2003, la Configuration de sécurité améliorée d'Internet Explorer aide à réduire ce risque en modifiant de nombreux paramètres liés à la sécurité.

Détection et déploiement

WinUpdate, SUS, AutoUpdates

Office Update et Outil d'inventaire des mises à jour d'Office pour SMS

MBSA 1.2 et Outil d'inventaire des mises à jour de sécurité pour SMS (SUIT)

Outil d'analyse des mises à jour pour entreprise (EST) et Outils d'analyse des mises à jour de sécurité SMS

MSUpdate/WSUS/AutoUpdates, Outil d'inventaire SMS 2003 et MBSA 2.0

MS07-001 MS07-001

Non applicable

Oui localement Non applicable Oui (sauf Windows 2000)

MS07-002 MS07-002

Non applicable

Oui localement Non applicable Oui (sauf Windows 2000)

MS07-003 MS07-003

Non applicable

Oui localement Non applicable Oui (sauf Windows 2000)

MS07-004 MS07-004

Oui Non applicable

Non Oui Oui

Informations de mise à jour (suite)

BulletinRédémarrage requis

HotPatching Désinstallation Remplace Sur les produits

MS07-001

peut être nécessaire

Non applicable

Oui Non applicable

MS07-002

peut être nécessaire

Non applicable

Oui MS06-059 Tous

MS07-003

peut être nécessaire

Non applicable

Oui MS06-003

Tous

MS07-004

Nécessaire Non Oui MS06-055

Tous

Janvier 2007 - Mises à jour non relatives à la sécurité

Numéro Titre Distribution

925254 Mise à jour du filtre de courrier indésirable Outlook 2003 MSUpdate

925534 Mise à jour pour Outlook 2003 MSUpdate

WSUSSCAN.CAB

• Nouvelle architecture WSUSSCAN.CAB depuis novembre 2006> Utilisateurs de l'outil d'inventaire SMS : téléchargez et déployez la version mise à jour

de l'outil d'inventaire SMS.> Utilisateurs de l'analyse hors ligne de MBSA 2.0 : téléchargez et déployez la version

mise à jour de MBSA 2.0.> Pour plus d'informations, consultez l'Article 926464 de la Base de connaissances

Microsoft.http://support.microsoft.com/kb/926464

• Le support pour l'architecture WSUSSCAN.CAB avant mise à jour prend fin en mars 2007.

> Aucune modification pour janvier 2007> En décembre, les informations pour les mises à jour concernant XP SP1 ont été

supprimées des nouvelles publications.> En février, d'autres informations sur des mises à jour de sécurité actives plus anciennes

pourraient être également supprimées.

Windows Malicious Software Removal Tool

• 25ème mise à jour mensuelle. Ajoute la possibilité de supprimer :> Win32/Haxdoor

• Disponible en tant que mise à jour prioritaire sous Windows Update et Microsoft Update pour les utilisateurs de Windows XP et Windows Vista.

> Disponible par WSUS. Non disponible par SUS 1.0.• Également disponible en téléchargement à

http://www.microsoft.com/france/securite/malwareremove

Ressources

• Webcast des bulletins de sécurité de février 2007

• Résumé des Bulletins de sécuritéhttp://www.microsoft.com/france/technet/security/bulletin/ms07-001.mspx

• Bulletins de sécuritéhttp://www.microsoft.com/france/technet/security/bulletin

• Avis de sécuritéhttp://www.microsoft.com/france/technet/security/advisory

• Blog du MSRC (Microsoft Security Response Center)http://blogs.technet.com/msrc

• Notificationshttp://www.microsoft.com/france/securite/newsletters.mspx

• TechNet Radio (en anglais)http://www.microsoft.com/tnradio

• Microsoft France sécurité http://www.microsoft.com/france/securite

• Lettre d'information mensuellehttp://www.microsoft.com/france/securite/newsletters.mspx

• TechNet sécuritéhttp://www.microsoft.com/france/technet/security

Informations légales

L’OBJET DU PRESENT DOCUMENT EST DE VOUS FOURNIR L’INFORMATION QUE VOUS AVEZ DEMANDEE CONCERNANT LA SECURITE. GENERALEMENT, L’INFORMATION PROVOQUE UNE PRISE DE CONSCIENCE AUTOUR DE LA SECURITE ET IDENTIFIE LE PERSONNEL, LES PROCEDES, RESSOURCES ET TECHNOLOGIES QUI SONT DESTINES A PROMOUVOIR DE BONNES REGLES DE SECURITE DANS VOTRE ORGANISATION. LES VIRUS ET AUTRES TECHNOLOGIES NUISIBLES DESTINES A ATTAQUER VOTRE ENVIRONNEMENT INFORMATIQUE CHANGENT CONTINUELLEMENT AFIN DE CONTOURNER LES MESURES DE SECURITE EXISTANTES. DES LORS, MAINTENIR UN ENVIRONNEMENT INFORMATIQUE FIABLE EST UN PROCESSUS CONTINU QUI EXIGE QUE VOUS MAINTENIEZ UN PERSONNEL, DES PROCEDES, RESSOURCES ET TECHNOLOGIES ADEQUATS AFIN DE VOUS PROTEGER CONTRE TOUTE ATTEINTE A LA SECURITE. AUCUNE DISPOSITION CONTENUE DANS LES PRESENTES NE DOIT ETRE INTERPRETEE OU CONSIDEREE COMME UNE CERTIFICATION, UNE GARANTIE OU TOUTE AUTRE FORME DE VALIDATION QUE VOTRE ENVIRONNEMENT INFORMATIQUE EST ET DEMEURERA PROTEGE CONTRE DES ATTEINTES A LA SECURITE ET NOUS N’ASSUMONS AUCUNE RESPONSABILITE POUR TOUTE ATTEINTE A LA SECURITE OU TOUT DOMMAGE OU PERTE SUBSEQUENT. TOUTES COMMUNICATIONS OU TRANSMISSIONS D’INFORMATION QUI VOUS SONT ADRESSEES AU SUJET DE MICROSOFT ET CONCERNANT LA SECURITE INCLUANT NOTAMMENT TOUTES SUGGESTIONS, ANALYSES, OU COMMENTAIRES QUI VOUS SONT FOURNIS DURANT UNE ANALYSE RELATIVE A LA SECURITE OU TOUTE AUTRE INFORMATION PASSEE, PRESENTE OU FUTURE RELATIVE NOTAMMENT AUX TESTS DE SECURITE, EVALUATIONS, DISPONIBILITES, HORAIRES OU OBJECTIFS (CI-APRES COLLECTIVEMENT DENOMMES « INFORMATIONS SUR LA SECURITE »), SONT FOURNIS CONFORMEMENT AUX CONDITIONS DU CONTRAT DE SERVICE EXISTANT ENTRE VOUS ET MICROSOFT ET UNIQUEMENT AFIN DE VOUS PERMETTRE DE VOUS ORGANISER FACE A D’EVENTUELS PROBLEMES DE SECURITE. TOUTES LES INFORMATIONS SUR LA SECURITE CONTIENNENT TOUTES LES DONNEES QUI NOUS SONT ACTUELLEMENT ACCESSIBLES MAIS QUI SONT SUSCEPTIBLES DE CHANGER EN RAISON DU CHANGEMENT CONSTANT DE CES DONNEES SANS QUE MICROSOFT VOUS AIT PREALABLEMENT INFORME DE CES CHANGEMENTS. NOUS VOUS RECOMMANDONS DONC DE VERIFIER REGULIEREMENT AUPRES DE NOUS ET SUR LE SITE INTERNET DE SECURITE SITUE A L’ADRESSE SUIVANTE WWW.MICROSOFT.COM/SECURITY SI LES INFORMATIONS QUE NOUS VOUS AVONS FOURNIES FONT L’OBJET DE MISES A JOUR. VEUILLEZ NOUS CONTACTER SI VOUS AVEZ D’AUTRES QUESTIONS CONCERNANT DES PROBLEMES DE SECURITE OU SI VOUS AVEZ BESOIN D’UNE MISE A JOUR DES INFORMATIONS QUE NOUS VOUS AVONS FOURNIES.