Risque
Exécution de code arbitraire à distance.
Systèmes affectés
- Microsoft Windows 2000 Service Pack 4 ;
- Microsoft Windows XP Service Pack 2 ;
- Microsoft Windows XP Professional x64 Edition ;
- Microsoft Windows Server 2003 et Windows Server 2003 Service Pack 1 (versions pour systèmes Itanium comprises) ;
- Microsoft Windows Server 2003 x64 Edition.
Résumé
Une vulnérabilité a été identifiée dans Microsoft Agent. Une personne malveillante pourrait exploiter celle-ci afin d'exécuter des commandes arbitraires sur la machine vulnérable.
Description
Une vulnérabilité a été identifiée dans Microsoft Agent, un ensemble de services permettant la représentation d'agents logiciels comme des personnalités interactives. Il ne manipulerait pas correctement certains fichiers d'extension .ACF (pour Microsoft Agent Character File).
Une personne malveillante pourrait exploiter cette vulnérabilité en construisant une page Web particulière. La visite de cette dernière pourrait alors provoquer l'exécution de code arbitraire sur le système vulnérable. Cette attaque nécessite cependant que le navigateur accepte les contrôles ActiveX.
Solution
Se référer au bulletin de sécurité MS06-068 de Microsoft pour l'obtention des correctifs (cf. section Documentation).
Documentation
- Bulletin de sécurité Microsoft MS06-068 du 14 novembre 2006 :
http://www.microsoft.com/france/technet/security/Bulletin/MS06-068.mspx
http://www.microsoft.com/technet/security/Bulletin/MS06-068.mspx
- Référence CVE CVE-2006-3445 :
https://www.cve.org/CVERecord?id=CVE-2006-3445
