S . G . D . S . N Agence nationale de la sécurité des systèmes d'information

Paris, le 26 avril 2002 No CERTA-2002-AVI-087

Affaire suivie par :

CERTA

Objet : Vulnérabilité de l'éditeur de méls de Microsoft Outlook

Gestion du document

Une gestion de version détaillée se trouve à la fin de ce document.

1 Risque

Exécution de code arbitraire.

2 Systèmes affectés

• Microsoft Outlook 2000 ;
• Microsoft Outlook 2002.

3 Résumé

Un utilisateur d'Outlook utilisant l'option Word pour répondre à son courrier électronique peut exécuter à son insu du code arbitraire sur sa machine.

4 Description

Une option de Outlook permet de choisir Word comme éditeur de texte pour répondre au courrier électronique. Lors de la lecture d'un mél, Outlook utilise les paramètres de sécurité d'Internet Explorer. Par contre si la réponse s'effectue par le biais de Word, ce sont les paramètres de Word qui seront utilisés. Un utilisateur répondant à un courrier contenant un script malicieux exécutera alors, lors de la réponse, ce script sur sa machine.

5 Contournement provisoire

Ne pas selectionner WORD pour répondre au courrier dans la configuration d'Outlook.

6 Solution

Se référer au bulletin de sécurité de Microsoft (voir paragraphe Documentation) pour connaitre la disponibilité des correctifs.

7 Documentation

Bulletin Microsoft :

http://www.microsoft.com/technet/security/bulletin/MS02-021.asp

Gestion détaillée du document

26 avril 2002

version initiale.