S . G . D . S . N Agence nationale de la sécurité des systèmes d'information

Paris, le 15 avril 2009 No CERTA-2009-AVI-141

Affaire suivie par :

CERTA

Objet : Vulnérabilité dans Microsoft DirectX

Gestion du document

Une gestion de version détaillée se trouve à la fin de ce document.

1 Risque

Exécution de code arbitraire à distance.

2 Systèmes affectés

• DirectX 8.1 ;
• DirectX 9.0 (y compris les versions 9.0a, 9.0b et 9.0c).

3 Résumé

Une vulnérabilité a été identifiée dans Microsoft DirectX. Elle peut être exploitée à l'ouverture d'un fichier multimédia MJPEG spécialement construit et provoquer l'exécution de code arbitraire.

4 Description

Une vulnérabilité a été identifiée dans la composante DirectShow de Microsoft DirectX. Elle ne manipule pas correctement certains fichiers multimédia compressés, en particulier ceux au format MJPEG (regroupement de plusieurs fichiers JPEG pour construire un flux vidéo).

La vulnérabilité peut être exploitée à distance à partir du moment où l'utilisateur ouvre (volontairement ou non) un contenu MJPEG spécialement conçu. Celui-ci peut être inséré dans un format de fichiers comme AVI (stockage de données audio et vidéo).

5 Solution

Se référer au bulletin de sécurité MS09-011 de Microsoft pour l'obtention des correctifs (cf. section Documentation).

6 Documentation

• Bulletin de sécurité Microsoft MS09-011 du 14 avril 2009 :

  http://www.microsoft.com/france/technet/security/Bulletin/MS09-011.mspx
  

  http://www.microsoft.com/technet/security/Bulletin/MS09-011.mspx
  

• Référence CVE CVE-2009-0084 :

  http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2009-0084
  

Gestion détaillée du document

15 avril 2009

version initiale.