S . G . D . S . N Agence nationale de la sécurité des systèmes d'information

Paris, le 13 juin 2007 No CERTA-2007-AVI-259

Affaire suivie par :

CERTA

Objet : Vulnérabilité de Outlook Express et Mail

Gestion du document

Une gestion de version détaillée se trouve à la fin de ce document.

1 Risque

• Exécution de code arbitraire à distance ;
• atteinte à la confidentialité des données.

2 Systèmes affectés

• Outlook Express 6 sous Windows 2003 server et XP ;
• Mail sous Windows Vista.

3 Résumé

4 Description

Plusieurs vulnérabilités affectent les clients de messagerie Outlook Express et Mail :

• trois vulnérabilités permettent, par le biais de courriels spécialement conçus, de contourner le contrôle d'accès dans le navigateur et de divulguer des informations.
• une vulnérabilité dans Mail permet, par le biais d'un courriel spécialement conçu, d'exécuter du code arbitraire sur la machine vulnérable ;

L'exploitation de ces vulnérabilités exige la participation du destinataire des courriels malveillants (clic sur un lien).

5 Solution

Se référer au bulletin de sécurité de l'éditeur pour l'obtention des correctifs (cf. section Documentation).

6 Documentation

• Bulletin de sécurité Microsoft MS07-034 du 12 juin 2007 :

  http://www.microsoft.com/france/technet/securite/MS07-034.mspx
  

• Référence CVE CVE-2006-2111 :

  http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2006-2111
  

• Référence CVE CVE-2007-1658 :

  http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2007-1658
  

• Référence CVE CVE-2007-2225 :

  http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2007-2225
  

• Référence CVE CVE-2007-2227 :

  http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2007-2227
  

Gestion détaillée du document

13 juin 2007

version initiale.