Risque

  • Exécution de code arbitraire à distance.

Systèmes affectés

  • Microsoft Windows XP Service Pack 2 ;
  • Microsoft Windows XP Professional x64 Edition (Service Pack 2 compris).

Résumé

Une vulnérabilité a été identifiée dans le service Universal Plug and Play (UPnP) de Microsoft Windows. Une personne malveillante pourrait l'exploiter en envoyant un paquet spécialement construit vers le système vulnérable, et ainsi prendre le contrôle total de celui-ci.

Description

Une vulnérabilité a été identifiée dans le service Universal Plug and Play (UPnP) de Microsoft Windows. Ce service a pour but de faciliter la communication entre périphériques, et s'appuie fréquemment sur les protocoles IP, TCP/UDP et HTTP. Outre une phase de découverte des services disponibles dans le réseau, il offre aussi la possibilité d'envoyer des actions et des notifications d'événements (mises à jour du service par exemple). Ce service est largement mise en œuvre, et se trouve bien souvent activé automatiquement dans les configurations par défaut des appareils. Il fait partie des exceptions autorisées par le pare-feu Windows dans son installation native.

Le système ne manipulerait pas correctement certaines requêtes HTTP. Une personne malveillante pourrait donc envoyer à distance un paquet spécialement construit vers le système vulnérable, et ainsi prendre le contrôle total de celui-ci.

Solution

Se référer au bulletin de sécurité de l'éditeur pour l'obtention des correctifs (cf. section Documentation).

Documentation