S . G . D . S . N Agence nationale de la sécurité des systèmes d'information

Paris, le 15 novembre 2006 No CERTA-2006-AVI-497

Affaire suivie par :

CERTA

Objet : Vulnérabilité de Microsoft Agent

Gestion du document

Une gestion de version détaillée se trouve à la fin de ce document.

1 Risque

Exécution de code arbitraire à distance.

2 Systèmes affectés

• Microsoft Windows 2000 Service Pack 4 ;
• Microsoft Windows XP Service Pack 2 ;
• Microsoft Windows XP Professional x64 Edition ;
• Microsoft Windows Server 2003 et Windows Server 2003 Service Pack 1 (versions pour systèmes Itanium comprises) ;
• Microsoft Windows Server 2003 x64 Edition.

3 Résumé

Une vulnérabilité a été identifiée dans Microsoft Agent. Une personne malveillante pourrait exploiter celle-ci afin d'exécuter des commandes arbitraires sur la machine vulnérable.

4 Description

Une vulnérabilité a été identifiée dans Microsoft Agent, un ensemble de services permettant la représentation d'agents logiciels comme des personnalités interactives. Il ne manipulerait pas correctement certains fichiers d'extension .ACF (pour Microsoft Agent Character File).

Une personne malveillante pourrait exploiter cette vulnérabilité en construisant une page Web particulière. La visite de cette dernière pourrait alors provoquer l'exécution de code arbitraire sur le système vulnérable. Cette attaque nécessite cependant que le navigateur accepte les contrôles ActiveX.

5 Solution

Se référer au bulletin de sécurité MS06-068 de Microsoft pour l'obtention des correctifs (cf. section Documentation).

6 Documentation

• Bulletin de sécurité Microsoft MS06-068 du 14 novembre 2006 :

  http://www.microsoft.com/france/technet/security/Bulletin/MS06-068.mspx
  

  http://www.microsoft.com/technet/security/Bulletin/MS06-068.mspx
  

• Référence CVE CVE-2006-3445 :

  http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2006-3445
  

Gestion détaillée du document

15 novembre 2006

version initiale.