S.G.D.S.N
Agence nationale
de la sécurité des
systèmes d'information
Paris, le 13 février 2008
N° CERTA-2008-AVI-073
Affaire suivie par: CERT-FR
le 13 février 2008

Avis du CERT-FR

Objet: Vulnérabilité dans Microsoft OLE Automation

Gestion du document

Référence CERTA-2008-AVI-073
Titre Vulnérabilité dans Microsoft OLE Automation
Date de la première version 13 février 2008
Date de la dernière version 13 février 2008
Source(s) Bulletin de sécurité Microsoft MS08-008 du 12 février 2008
Pièce(s) jointe(s) Aucune(s)
Tableau 1: Gestion du document

Une gestion de version détaillée se trouve à la fin de ce document.

Risque

Exécution de code arbitraire à distance.

Systèmes affectés

  • Windows 2000 Service Pack 4 ;
  • Windows XP Service Pack 2 ;
  • Windows XP Professionnel Edition x64 ;
  • Windows XP Professionnel Edition x64 Service Pack 2 ;
  • Windows Server 2003 Service Pack 1 ;
  • Windows Server 2003 Service Pack 2 ;
  • Windows Server 2003 Edition x64 ;
  • Windows Server 2003 Edition x64 Service Pack 2 ;
  • Windows Server 2003 pour les systèmes Itanium (SP1 et SP2) ;
  • Windows Vista ;
  • Windows Vista Edition x64 ;
  • Microsoft Office 2004 pour Mac ;
  • Microsoft Visual Basic 6.0 Service Pack 6.

Résumé

Une vulnérabilité a été identifiée dans OLE Automation de Microsoft. Celle-ci pourrait être exploitée par une personne malveillante distante via une page Web spécialement construite, pour exécuter des commandes sur le poste vulnérable, avec les droits de l'utilisateur.

Description

Une vulnérabilité a été identifiée dans OLE Automation de Microsoft. Il s'agit d'un protocole de Windows utilisé par une application pour échanger des données ou contrôler une autre application. Des requêtes particulières lors de l'utilisation du service pourraient provoquer une corruption de la mémoire.

Cette vulnérabilité pourrait être exploitée par une personne malveillante distante via une page Web spécialement construite, pour exécuter des commandes sur le poste vulnérable, avec les droits de l'utilisateur.

Solution

Se référer au bulletin de sécurité MS08-008 de Microsoft pour l'obtention des correctifs (cf. section Documentation).

Documentation

Gestion détaillée du document

    le 13 février 2008
    version initiale.