S . G . D . S . N Agence nationale de la sécurité des systèmes d'information

Paris, le 16 octobre 2003 No CERTA-2003-AVI-166

Affaire suivie par :

CERTA

Objet : Vulnérabilité dans la vérification Authenticode

Gestion du document

Une gestion de version détaillée se trouve à la fin de ce document.

1 Risque

Exécution de code arbitraire à distance.

2 Systèmes affectés

Les systèmes suivants sont vulnérables :

• Windows NT Workstation 4.0, Server 4.0, Server 4.0 Terminal Server Edition ;
• Windows 2000 ;
• Windows XP Gold, 64-bit Edition, 64-bit Edition Version 2003 ;
• Windows Server 2003, Server 2003 64-bit Edition.

Microsoft Windows Millenium Edition n'est pas affecté par cette vulnérabilité.

3 Résumé

Une vulnérabilité dans la vérification Authenticode permet, sous certaines conditions, l'exécution de code arbitraire à distance.

4 Description

Authenticode est une technologie permettant de vérifier l'intégrité d'un contrôle ActiveX. L'installation d'un contrôle ActiveX nécessite la confirmation par l'utilisateur de la machine, au travers d'une boîte de dialogue ouverte par Authenticode.

Une vulnérabilité d'Authenticode permet, sous certaines conditions, le téléchargement et l'installation de contrôles ActiveX sans l'ouverture de la boîte de dialogue de confirmation.

5 Solution

Appliquer le correctif indiqué à l'adresse suivante :

http://www.microsoft.com/technet/security/bulletin/MS03-041.asp

6 Documentation

Avis MS03-041 de Microsoft :

http://www.microsoft.com/technet/security/bulletin/MS03-041.asp

Référence CVE CAN-2003-0660 :

http://cve.mitre.org/cgi-bin/cvename.cgi?name=CAN-2003-0660

Gestion détaillée du document

16 octobre 2003

version initiale.