 |
|
S . G . D . S . N
Agence nationale
de la sécurité des
systèmes d'information
|
 |
|
Paris, le 12 août
2009
No CERTA-2009-ALE-011-001 |
Affaire suivie par :
CERTA
BULLETIN D'ALERTE DU CERTA
Objet : Vulnérabilité dans
Microsoft Office Web Components Control
Tableau 1: Gestion du document
| Référence |
CERTA-2009-ALE-011-001 |
| Titre |
Vulnérabilité dans
Microsoft Office Web Components Control |
| Date de la première
version |
13 juillet 2009 |
| Date de la dernière
version |
12 août 2009 |
| Source(s) |
Bulletin de
sécurité Microsoft 973472 du 13
juillet 2009 |
| Pièce(s) jointe(s) |
Aucune |
|
Une gestion de version détaillée se trouve
à la fin de ce document.
Exécution de code arbitraire à distance.
- Microsoft Office XP SP3 ;
- Microsoft Office 2003 SP3 ;
- Microsoft Office XP Web Components SP3 ;
- Microsoft Office 2003 Web Components SP3 ;
- Microsoft Office Web Component pour Microsoft Office 2007
SP1 ;
- Microsoft Internet Security and Acceleration Server 2004
Standard & Enerprise Edition SP3 ;
- Microsoft Internet Security and Acceleration Server 2006
;
- Internet Security and Acceleration Server 2006
Supportability Update ;
- Microsoft Internet Security and Acceleration Server 2006
SP1 ;
- Microsoft Office Small Business Accounting 2006.
Une vulnérabilité dans Microsoft Office Web Components Control permet
à un utilisateur malveillant d'exécuter du code
arbitraire à distance.
Une vulnérabilité de nature non
précisée par l'éditeur dans Microsoft Office Web Components Control permet
à une personne malintentionnée distante
d'exécuter du code arbitraire, avec les droits de
l'utilisateur, au moyen d'une page web spécialement
écrite visualisée dans Internet Explorer.
Les moyens de contournement suivants sont disponibles :
-
Microsoft a publié un contournement
provisoire afin de désactiver le composant mis en
cause. Une application est disponible sur le bulletin de
sécurité Microsoft (cf. la section
Documentation). Afin de désactiver le composant, il
faut placer la valeur Compatibility
Flags pour chaque Class
Identifier suivants comme décrit ci-dessous :
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\ActiveX Compatibility\
{XXXXXXXX-XXXX-XXXX-XXXX-XXXXXXXXXXXX}]
"Compatibility Flags"=dword:00000400
Liste des Class Identifiers
:
{0002E541-0000-0000-C000-000000000046}
{0002E559-0000-0000-C000-000000000046}
- utiliser un navigateur alternatif.
Se référer au bulletin de
sécurité MS09-043 de Microsoft pour l'obtention
des correctifs (cf. section Documentation).
- 13 juillet 2009
- version initiale.
- 12 août 2009
- ajout de la solution.
CERTA
2012-01-04
|
|
)
