S . G . D . S . N Agence nationale de la sécurité des systèmes d'information

Paris, le 23 janvier 2003 No CERTA-2003-AVI-011

Affaire suivie par :

CERTA

Objet : Vulnérabilité de Microsoft Outlook 2002 associé au protocole de sécurisation V1 Exchange Server

Gestion du document

Une gestion de version détaillée se trouve à la fin de ce document.

1 Risque

Divulgation du contenu des messages sécurisés.

2 Systèmes affectés

Microsoft Outlook 2002.

3 Résumé

Un mauvais fonctionnement du protocole de sécurisation par V1 Exchange Server sous Microsoft Outlook 2002 peut entraîner l'envoi de messages non-chiffrés de façon inopinée.

4 Description

Le logiciel de messagerie Microsoft Outlook 2002 possède la fonctionnalité de sécuriser l'envoi des messages. Le protocole utilisé par défaut est S/MIME mais il est aussi possible d'utiliser le protocole propriétaire V1 Exchange Server.

Lors du processus de chiffrement d'un message au format HTML, une mauvaise gestion des certificats V1 Exchange Server par le logiciel Outlook 2002, entraîne l'envoi du message en clair.

5 Contournement provisoire

• Il est conseillé d'éviter l'envoi de messages au format HTML. Ce format est d'ailleurs un vecteur de propagation de certains types de vers et virus.
• Il est préférable d'utiliser les protocoles standards tels que S/MIME plutôt que les protocoles propriétaires.

6 Solution

Consulter le bulletin de sécurité #MS03-003 de Microsoft (voir paragraphe Documentation) pour connaître la disponibilité des correctifs.

7 Documentation

Le bulletin de sécurité #MS03-003 de Microsoft :

http://www.microsoft.com/technet/security/bulletin/ms03-003.asp

Gestion détaillée du document

23 janvier 2003

version initiale.