S.G.D.S.N
Agence nationale
de la sécurité des
systèmes d'information
Paris, le 13 juin 2007
N° CERTA-2007-AVI-258
Affaire suivie par: CERT-FR
le 13 juin 2007

Avis du CERT-FR

Objet: Vulnérabilité dans l’API Win32

Gestion du document

Référence CERTA-2007-AVI-258
Titre Vulnérabilité dans l’API Win32
Date de la première version 13 juin 2007
Date de la dernière version 13 juin 2007
Source(s) Aucune
Pièce(s) jointe(s)
Pièce(s) jointe(s) Aucune(s)
Tableau 1: Gestion du document

Une gestion de version détaillée se trouve à la fin de ce document.

Risque

Exécution de code arbitraire à distance.

Systèmes affectés

  • Windows 2000 Service Pack 4 ;
  • Windows XP Service Pack 2 ;
  • Windows XP Professionnel Édition x64 ;
  • Windows XP Professionnel Édition x64 Service Pack 2 ;
  • Windows Server 2003 Service Pack 1 ;
  • Windows Server 2003 Service Pack 2 ;
  • Windows Server 2003 Édition x64 ;
  • Windows Server 2003 Édition x64 Service Pack 2 ;
  • Windows Server 2003 avec SP1 pour les systèmes Itanium ;
  • Windows Server 2003 avec SP2 pour les systèmes Itanium.

Résumé

Cette mise à jour de sécurité corrige une vulnérabilité critique en modifiant la façon dont l'API Win32 valide des paramètres.

Description

Il existe une vulnérabilité d'exécution de code arbitraire à distance dans la façon dont l'API Win32 valide certains paramètres. Un attaquant pourrait exploiter cette vulnérabilité en créant une page Web qui pourrait permettre l'exécution de code à distance si un utilisateur la consultait. Tout attaquant qui parviendrait à exploiter cette vulnérabilité pourrait prendre le contrôle intégral du système affecté.

Contournement provisoire

Solution

Se référer au bulletin de sécurité de l'éditeur pour l'obtention des correctifs (cf. section Documentation).

Documentation

Gestion détaillée du document

    le 13 juin 2007
    version initiale.