S . G . D . S . N Agence nationale de la sécurité des systèmes d'information

Paris, le 13 septembre 2006 No CERTA-2006-AVI-389

Affaire suivie par :

CERTA

Objet : Vulnérabilité dans Microsoft Publisher

Gestion du document

Une gestion de version détaillée se trouve à la fin de ce document.

1 Risque

Exécution de code arbitraire à distance.

2 Systèmes affectés

• Office Publisher 2000 fourni dans la suite Microsoft Office 2000 Service Pack 3 ;
• Office Publisher 2002 fourni dans la suite Microsoft Office XP Service Pack 3 ;
• Office Publisher 2003 fourni dans la suite Microsoft Office 2003 Service Pack 1 et Service Pack 2.

3 Résumé

Une vulnérabilité a été identifiée dans certaines versions de l'application Microsoft Publisher. Une personne malveillante pourrait construire une fichier exploitant cette vulnérabilité, afin d'exécuter du code arbitraire sur le système où le document sera ouvert.

4 Description

Publisher est une application fournie par Microsoft servant à la publication de documents (logiciel PAO, pour publication assistée par ordinateur).

Une vulnérabilité a été identifiée dans ce dernier. Il ne contrôlerait pas de manière correcte certaines chaînes de caractères malformées dans des fichiers au format .pub.

Une personne malveillante pourrait construire une fichier exploitant cette vulnérabilité, afin d'exécuter du code arbitraire sur le système où le document sera ouvert.

5 Solution

Se référer au bulletin de sécurité MS06-054 de Microsoft pour l'application des correctifs (cf. section Documentation).

6 Documentation

• Bulletin de sécurité Microsoft MS06-054 du :

  http://www.microsoft.com/france/technet/security/bulletin/2006/MS06-054.mspx
  

  http://www.microsoft.com/technet/security/Bulletin/MS06-054.mspx
  

• Référence CVE CVE-2006-0001 :

  http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2006-0001
  

Gestion détaillée du document

13 septembre

version initiale.