Base OSWIN v2

Avis Microsoft

Déni de service, fuite d'information sur le contenu de la mémoire.

Le problème se situe dans la fonction rpc__mgmt_inq_stats().

Il est recommandé d'appliquer ce patch afin d'améliorer la stabilité du système RPC/DCOM.

En exploitant cette faille, il est possible d'effectuer un déni de service sur un serveur IIS.

Le code d'exploitation a été publiée sur Internet.

L'application du correctif est fortement recommandée sur les serveurs Web accessibles depuis Internet.

Le composant NetDDE est affecté par une faille de type buffer overflow, permettant l'exécution de code à distance sous le compte SYSTEM.

Le code d'exploitation a été publié sur Internet.

NetDDE est une technologie obsolète. La désactivation du service est suffisante pour se protéger de cette vulnérabilité.

Elévation de privilèges vers SYSTEM à travers le gestionnaire de fenêtres ("shatter attack").

Elévation de privilèges locale vers SYSTEM à travers la machine virtuelle DOS (VDM).

Vulnérabilité dans le traitement des fichiers EMF et WMF (publiée sur Internet en février 2004!).

Déni de service local dans le noyau Windows.

Le détail de l'exploitation des failles WMF/EMF et de la "Shatter Attack" sont disponibles sur Internet.

La faille WMF/EMF est déjà exploitée par le ver Aler/Golten. L'application du correctif est recommandée.

Remarque : des utilisateurs ont fait état d'une possible incompatibilité avec le produit CA Unicenter Software Delivery (USD), de version inférieure ou égale à 3.1.

Excel est affecté par une vulnérabilité de type "buffer overflow". La longueur indiquée d'une chaîne de caractères est utilisée pour copier cette chaîne sans vérification.

L'exploitation est triviale.

Cette faille pourrait être exploitée par du code malveillant. Mais ce type de vecteur (documents Office) n'est plus vraiment exploité par les créateurs de virus.

Une faille de type "buffer overflow" affecte la fonction Windows de décompression des archives ZIP.

Un exploit a été publié sur Internet.

L'exploitation "dans la nature" n'est pas évidente car elle nécessite que l'utilisateur ajoute des fichiers à une archive ZIP corrompue.

Il est possible d'appliquer le correctif, ou de désinstaller le support ZIP : regsvr32 /u zipfldr.dll

Windows XP, 2003 (via IIS)
Exchange 2000, 2003

Le traitement des réponses DNS est affecté par un "buffer overflow".

Peu d'informations ont été diffusées sur cette faille.

Les serveurs de messagerie étant critiques pour l'entreprise, il est recommandé d'appliquer ce correctif.

Windows NT4 Server, 2000 Server, 2003 (via IIS)
Exchange 2000, 2003

Une vulnérabilité de type "buffer overflow" est présente dans le composant NNTP de Windows. Cette vulnérabilité pourrait être exploitée même si NNTP n'est pas utilisé.

La méthode d'exploitation a été publiée sur Internet. Le "buffer overflow" se situerait dans la commande "XPAT".

L'application du correctif est recommandée, les serveurs de messagerie étant critiques pour l'entreprise.

Windows NT4, 2000, XP, 2003

Le shell de Windows est affecté par une vulnérabilité permettant l'exécution de code à distance.

Le "convertisseur de groupes de programmes" (un utilitaire de migration Windows 3.1) est affecté par le même type de vulnérabilité.

Ces vulnérabilités sont exploitables par un site Web malveillant, afin d'exécuter du code sur la machine du visiteur.

Ce type de vulnérabilité est souvent largement exploité sur Internet afin d'installer des spywares et des adwares sur les postes des utilisateurs. Il est fortement recommandé de patcher.

Internet Explorer 5.0, 5.5, 6.0

Plusieurs failles IE sont corrigées par ce correctif :

- "Heap overflow" dans le traitement des CSS
- "Cross-domain scripting" via des noms de méthode similaires
- "Buffer overflow" dans le moteur d'installation (inseng.dll)
- Faille "drag'n'drop" (exploitée "dans la nature")
- Spoofing d'URL sur les systèmes DBCS
- Spoofing d'URL via le plugin "navigation"
- Téléchargement de fichiers via les "images tags"
- Exécution de scripts via le cache SSL

Certaines de ces failles sont connues et largement exploitées depuis quelques temps sur Internet par les auteurs de spywares.

Il est fortement recommandé de patcher.

Autres avis

N/D

IE 6.0

1/ Variante "drag & drop" : repose sur la priorité des attributs SRC/DYNSRC dans le tag IMG

2/ Utilisation des fichiers ".hhk" (index d'aide)

Des codes d'exploitation utilisant la méthode "adodb.recordsets.save" ont été publiés sur Internet.

Il est possible de se protéger en mettant le Kill Bit sur le contrôle "Shell.Explorer" dans la base de registre :

HKLM\SOFTWARE\Microsoft\Internet Explorer\ActiveX Compatibility\{8856F961-340A-11D0-A96B-00C04FD705A2}

"Compatibility Flags"=dword:00000400

N/D

McAfee, Computer Associates, Kaspersky, Sophos, Eset, RAV

Si la taille annoncée du fichier compressé est 0 dans l'entête ZIP, alors le fichier n'est pas scanné.

Des virus peuvent ainsi passer sans être détectés.

L'exploitation de cette faille est simple.

Les codes exploitant des failes de produits antivirus sont rares. Il est toutefois recommandé d'appliquer les mises à jour proposées par les éditeurs.

Nouveaux outils

Autres infos