S . G . D . S . N Agence nationale de la sécurité des systèmes d'information

Paris, le 12 mars 2008 No CERTA-2008-ALE-003-001

Affaire suivie par :

CERTA

Objet : Vulnérabilité dans Excel

Gestion du document

Une gestion de version détaillée se trouve à la fin de ce document.

1 Risque

Exécution de code arbitraire.

2 Systèmes affectés

Microsoft Office Excel dans les versions suivantes :

• 2000 ;
• 2002 ;
• 2003 SP2 ;
• 2004 pour Mac.

Microsoft Office Excel Viewer 2003.

3 Résumé

4 Description

Cette vulnérabilité serait exploitée, à la date de rédaction de cette alerte.

Les versions suivantes d'Excel ne seraient pas vulnérables :

• 2003 SP3 ;
• 2007 ;
• 2008 pour Mac.

Cette vulnérabilité est corrigée et mentionnée dans le bulletin Microsoft MS08-014 publié le 11 mars 2008. Ce dernier est détaillé dans l'avis CERTA-2008-AVI-125.

5 Contournement provisoire

Dans l'attente d'un correctif, plusieurs mesures permettent de réduire l'impact de l'exploitation de cette vulnérabilité :

• utiliser une version non vulnérable ou un logiciel alternatif (visualisateur, tableur ou suite bureautique) ;
• n'ouvrir que des documents de confiance ;
• être circonspect à l'égard des pièces jointes de courriels et des documents téléchargés ;
• travailler avec un compte aux droits restreints (principe du moindre privilège).

6 Solution

Se référer au bulletin de sécurité MS08-014 de Microsoft pour l'obtention des correctifs (cf. section Documentation).

7 Documentation

• Bulletin de sécurité Microsoft 947563 du 15 janvier 2008 :

  http://www.microsoft.com/technet/security/advisory/947563.mspx
  

• Référence CVE CVE-2008-0081 :

  http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2008-0081
  

• Avis CERTA-2008-AVI-125 du 12 mars 2008 :

  http://www.certa.ssi.gouv.fr/site/CERTA-2008-AVI-125/
  

Gestion détaillée du document

16 janvier 2008

version initiale.

12 mars 2008

ajout des références au bulletin MS08-14 et à l'avis correspondant.