Marianne ANSSI

CERT-FR

Centre gouvernemental de veille, d'alerte et de réponse aux attaques informatiques

logo ANSSI
Informations utiles

Que faire en cas d'intrusion ?

Les systèmes obsolètes

Liens utiles

 

L'ANSSI recrute

 

 

Les documents du CERT-FR

Publications récentes

Les alertes en cours

Les bulletins d'actualité

Les notes d'information

Année en cours Archive

 

Les Flux RSS du CERT-FR

Flux RSS complet

RSS

Flux RSS des alertes

RSS

Flux RSS SCADA

RSS

 

CERTA-2002-AVI-249

Imprimer ce document

Version PDF

À propos du CERT-FR

Le CERT-FR

Nous contacter

Contact us ( Drapeau anglais )

A propos du site

Communauté CSIRT

Les CSIRT

Le FIRST

L'EGC

 
Archives du CERT-FR

Année 2017 Archive

Année 2016 Archive

Année 2015 Archive

Année 2014 Archive

Année 2013 Archive

Année 2012 Archive

Année 2011 Archive

Année 2010 Archive

Année 2009 Archive

Année 2008 Archive

Année 2007 Archive

Année 2006 Archive

Année 2005 Archive

Année 2004 Archive

Année 2003 Archive

Année 2002 Archive

Année 2001 Archive

Année 2000 Archive

 

S . G . D . S . N
Agence nationale
de la sécurité des
systèmes d'information

République Française Paris, le 21 novembre 2002
No CERTA-2002-AVI-249

Affaire suivie par :

CERTA

AVIS DU CERTA

Objet : Vulnérabilité des composants MDAC sous Microsoft Windows


Conditions d'utilisation de ce document : http://www.certa.ssi.gouv.fr/certa/apropos.html
Dernière version de ce document : http://www.certa.ssi.gouv.fr/site/CERTA-2002-AVI-249

Gestion du document


Tableau 1: gestion du document
Référence CERTA-2002-AVI-249
Titre Vulnérabilité des composants MDAC sous Microsoft Windows
Date de la première version 21 novembre 2002
Date de la dernière version -
Source(s) Bulletin de sécurité MS02-065 de Microsoft
Pièce(s) jointe(s) Aucune
   

Une gestion de version détaillée se trouve à la fin de ce document.

1 Risque

  • Exécution de code arbitraire ;
  • déni de service uniquement sur les outils URLScan.

2 Systèmes affectés

  • Microsoft Data Access Component 2.1 ;
  • Microsoft Data Access Component 2.5 ;
  • Microsoft Data Access Component 2.6 ;
  • Internet Explorer 5.01 ;
  • Internet Explorer 5.5 ;
  • Internet Explorer 6.0.

Nota :

  • Remote Data Services (RDS) n'est pas activé par défaut lors de l'installation d'Internet Information Server (IIS).

    Mais les serveurs IIS qui utilisent une version affectée de Microsoft Data Access Component MDAC et ayant activé RDS sont vulnérables.

  • MDAC est installé et RDS activé par défaut sur les clients Internet Explorer. Actuellement, il n'est pas possible de le désactiver.
  • Sous Windows XP, la version 2.7 de MDAC est installée. Cette vulnérabilité n'affecte donc pas les systèmes sous Windows XP.
  • Selon Microsoft les outils URLScan ne devraient pas permettre l'exécution de code arbitraire mais il est possible de bloquer le système à distance au moyen de la vulnérabilité décrite dans cet avis.

3 Résumé

Il est possible d'exécuter du code arbitraire à distance en effectuant une requête RDS utilisée par les composants MDAC installés sur une machine cible.

4 Description

MDAC (Microsoft Data Access Components) fournit des fonctions pour exploiter des bases de données, comme connecter plusieurs bases de données entre elles, ou renvoyer des réponses à un client, etc.

RDS (Remote Data Services) est un des composants de MDAC qui permet à un client d'accéder à des bases de données à travers une interface web.

Les navigateurs Internet Explorer possèdent un client MDAC installé avec le client RDS activé par défaut.

La fonction nommée RDS Data Stub permet d'interpréter des requêtes HTML et de les transformer en requêtes RDS pour les transmettre à une base de données.

Une vulnérabilité de RDS Data Stub permet à un utilisateur mal intentionné d'effectuer une attaque de type débordement de mémoire à distance.

Il peut ainsi exécuter du code arbitraire à distance au moyen d'une requête RDS effectuée à travers une URL astucieusement construite et dirigée vers un serveur web possédant MDAC avec RDS activé.

La même attaque peut être effectuée contre un client Internet Explorer en incluant une réponse HTTP habilement construite dans une page web ou dans un message au format HTML.

URLScan est un outil du paquetage IISLockdown (servant à renforcer la sécurité des serveurs web IIS) de Microsoft qui permet de journaliser et/ou de bloquer les attaques par le biais d'URL habilement construites. Les URL passent dans un filtre ASCII avant d'être transférées et traitées par le serveur web.

Par conséquent il est impossible d'exécuter un binaire au moyen de cette attaque au travers des filtres d'URLScan.

Cependant elle aura pour conséquence un déni de service en bloquant la machine victime.

5 Solution

Consulter le bulletin de sécurité MS02-065 de Microsoft (voir paragraphe documentation) pour connaître la disponibilité des correctifs à appliquer.

6 Documentation

Bulletin de sécurité MS02-065 de Microsoft :

http://www.microsoft.com/technet/security/bulletin/MS02-065.asp

Gestion détaillée du document

21 novembre 2002
version initiale.


CERTA
2014-01-17
Premier Ministre / Secrétariat Général de la Défense et de la Sécurité Nationale / Agence nationale de la sécurité des systèmes d'information webmestre Dernière mise à jour : le 2017-03-23