S . G . D . S . N Agence nationale de la sécurité des systèmes d'information

Paris, le 10 mai 2006 No CERTA-2006-AVI-148-001

Affaire suivie par :

CERTA

Objet : Vulnérabilité dans l'explorateur de Microsoft Windows

Gestion du document

Une gestion de version détaillée se trouve à la fin de ce document.

1 Risque

• Exécution de code arbitraire à distance.

2 Systèmes affectés

• Microsoft Windows 2000 ;
• Microsoft Windows XP Service Pack 1 ;
• Microsoft Windows XP Service Pack 2 ;
• Microsoft Windows Server 2003 ;
• Microsoft Windows Server 2003 Service Pack 1.

3 Résumé

Une vulnérabilité dans l'explorateur de Microsoft Windows permet à un utilisateur malveillant d'exécuter du code arbitraire à distance.

4 Description

L'explorateur de Microsoft Windows ne manipule pas correctement les objets de type COM (pour Component Object Model). L'architecture COM propre à Microsoft permet la manipulation d'objets par les applications installées sur le système. Dans le cas de l'explorateur, un utilisateur malveillant peut inciter l'utilisateur à se connecter à un serveur de fichiers (au moyen d'un lien sur un site web par exemple), et profiter de cette vulnérabilité pour exécuter du code arbitraire à distance.

5 Solution

Appliquer le correctif tel qu'indiqué dans le bulletin de sécurité Microsoft MS06-015 (cf. section Documentation).

6 Documentation

• Bulletin de sécurité Microsoft MS06-015 du 11 avril 2006 :

  http://www.microsoft.com/france/technet/securite/MS06-015.mspx
  

  http://www.microsoft.com/technet/security/Bulletin/MS06-015.mspx
  

• Référence CVE CVE-2006-0012 :

  http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2006-0012
  

Gestion détaillée du document

12 avril 2006

version initiale.

10 mai 2006

modification du risque.