S . G . D . S . N Agence nationale de la sécurité des systèmes d'information

Paris, le 19 juin 2000 No CERTA-2000-AVI-008

Affaire suivie par :

CERTA

Objet : Vulnérabilité sous Windows 2000

Gestion du document

1 Risques

• Contournement des mécanismes de sécurité
• Perte de confidentialité des données
• Compromission des mots de passe

2 Systèmes concernés

• Microsoft Windows 2000 Professional
• Microsoft Windows 2000 Server
• Microsoft Windows 2000 Advanced Server

3 Résumé

Une vulnérabilité dans les mécanismes de sécurité de Windows 2000 a été découverte. Elle permet à un utilisateur mal intentionné d'obtenir, en accès local, des privilèges qui ne lui ont pas été attribués.

4 Description

Dans les mécanismes de sécurité de Windows 2000, des objets isolent les processus les uns des autres. Chaque « session » contient une ou plusieurs « stations » (windows station). Chaque station contient un ou plusieurs « bureaux » (desktop). Normalement, chaque processus n'a accès qu'à son propre bureau.

Dans la vulnérabilité découverte, il est permis à un processus d'accéder à des bureaux appartenant à un autre processus. Dès lors, un utilisateur mal intentionné, pourra accéder aux données des autres processus, tels que les mots de passes utilisés par le processus « winlogon ».

Nota : Windows 2000 Terminal Server n'est pas affecté par cette vulnérabilité, car chaque utilisateur est propriétaire de sa session.

5 Solution

Appliquer le correctif (version US) :

http://www.microsoft.com/Downloads/Release.asp?ReleaseID=20836

6 Documentation

Bulletin de sécurité microsoft :

http://www.microsoft.com/technet/security/bulletins/ms00-020.asp