Bulletin de sécurité urgent de Microsoft - Une vulnérabilité dans l’interpréteur de commandes Windows permet l'exécution de code à distance

Numéro : AV10-025
Date : le 2 août 2010

Objet

L'objet du présent avis est d'attirer l'attention sur le bulletin de sécurité urgent et critique MS10-046 de Microsoft portant sur une vulnérabilité dans l'interpréteur de commandes Windows.

Évaluation

Une vulnérabilité critique touche de multiples versions du système d'exploitation Windows. Windows traite les raccourcis de façon incorrecte et permet ainsi l'exécution de code malveillant lorsqu'une icône de raccourci spécialement conçu est affichée. Cette vulnérabilité peut être exploitée localement au moyen d'un lecteur USB malveillant ou à distance au moyen de lecteurs réseau partagés et de WebDAV. Du code malveillant exploitant cette vulnérabilité peut aussi être exécuté par l'entremise de certains types de documents qui permettent l'utilisation de raccourcis incorporés.

Produits touchés :

• Windows XP Service Pack 3
• Windows XP Professional x64 Edition Service Pack 2
• Windows Server 2003 Service Pack 2
• Windows Server 2003 x64 Edition Service Pack 2
• Windows Server 2003 SP2 pour systèmes Itanium
• Windows Vista Service Pack 1 et Windows Vista Service Pack 2
• Windows Vista Edition x64 Service Pack 1 et Windows Vista Edition x64 Service Pack 2
• Windows Server 2008 pour systèmes 32 bits et Windows Server 2008 pour systèmes 32 bits Service Pack 2
• Windows Server 2008 pour systèmes x64 et Windows Server 2008 pour systèmes x64 Service Pack 2
• Windows Server 2008 pour systèmes Itanium et Windows Server 2008 pour systèmes Itanium Service Pack 2
• Windows 7 pour systèmes 32 bits
• Windows 7 pour systèmes x64
• Windows Server 2008 R2 pour systèmes x64
• Windows Server 2008 R2 pour systèmes Itanium

Mesure suggérée

Microsoft a livré un correctif d'urgence pour cette vulnérabilité. Le CCRIC recommande aux administrateurs de tester et de déployer cette mise à jour à la première occasion.

Références :

http://www.microsoft.com/technet/security/bulletin/MS10-046.mspx (en anglais seulement)
http://www.microsoft.com/technet/security/bulletin/ms10-aug.mspx (en anglais seulement)

Note aux lecteurs

Le Centre canadien de réponse aux incidents cybernétiques (CCRIC) constitue le point de convergence au Canada pour les avertissements et l'analyse concernant les menaces et les vulnérabilités cybernétiques, ainsi que pour la coordination de la réponse aux incidents. Le CCRIC est chargé d'assurer la résilience de l'infrastructure essentielle nationale en surveillant les menaces et en coordonnant la réponse du gouvernement fédéral aux incidents de cybersécurité d'intérêt national. Le CCRIC, qui travaille conjointement avec le Centre des opérations du gouvernement (COG) de Sécurité publique Canada, constitue un élément clé de l'approche « tous risques » du gouvernement en regard de la gestion des urgences et de la sécurité nationale.

Pour obtenir des renseignements généraux, veuillez communiquer avec la division des Affaires publiques de Sécurité publique Canada:

Téléphone: 613-944-4875 ou 1-800-830-3118
Télécopieur: 613-998-9589
Courriel: communications@ps-sp.gc.ca