Syst\u00e8mes Windows avec la biblioth\u00e8que msdds.dll (version 7.0.9064.9112) install\u00e9e.
Dans ce contexte, les logiciels affect\u00e9s sont :
Les autres versions de msdds.dll peuvent \u00eatre vuln\u00e9rables.
","closed_at":"2005-08-19","content":"## Description\n\nLa biblioth\u00e8que msdds.dll (Microsoft DDS Library Shape Control) est un\nobjet COM qui fournit des formes pr\u00e9construites pour DDS Designer\nSurfaces. Cet objet COM est utilis\u00e9 par des composants tels que Visual\nStudio Database Diagramming pour permettre de visualiser des objets de\nbases de donn\u00e9es.\n\nCette biblioth\u00e8que n'est pas install\u00e9e par d\u00e9faut. Elle peut en revanche\n\u00eatre install\u00e9e avec certains logiciels comme Microsoft Visual Studio\n.NET 2002, Microsoft Visual Studio .NET 2003, Microsoft Office\nProfessional 2003 ou Microsoft Office XP (liste non exhaustive). La\nbiblioth\u00e8que msdds.dll n'a pas \u00e9t\u00e9 con\u00e7ue pour \u00eatre utilis\u00e9e par\nInternet Explorer, m\u00eame si cela reste possible. Son usage avec Internet\nExplorer n'est pas consid\u00e9r\u00e9 comme s\u00fbr.\n\nUne vuln\u00e9rabilit\u00e9 dans la biblioth\u00e8que msdds.dll permettrait, via\nInternet Explorer et au moyen de pages web malicieusement constitu\u00e9es,\nd'ex\u00e9cuter du code arbitraire \u00e0 distance.\n\nUn outil permettant de cr\u00e9er des pages web afin d'exploiter cette\nvuln\u00e9rabilit\u00e9 est disponible sur l'Internet.\n\nIl n'existe pas de correctif pour le moment.\n\n## Contournement provisoire\n\n- D\u00e9sactiver les contr\u00f4les ActiveX ;\n\n- positionner le kill bit dans la base de registre pour le CLSID\n EC444CB6-3E7E-4865-B1C3-0DE72EF39B3F afin d'emp\u00eacher l'utilisation\n de la biblioth\u00e8que msdds.dll par Internet Explorer (cette mesure\n n'aura aucun effet secondaire) ;\n\n- d\u00e9sactiver la biblioth\u00e8que msdds.dll dans le registre avec la\n commande (cette action peut provoquer des dysfonctionnements au\n niveau de certaines applications) :\n\n regsvr32 /u Msdds.dll\n\n- modifier les listes de contr\u00f4le d'acc\u00e8es (ACL) du fichier msdds.dll\n avec la commande :\n\n `cacls %windir%\\system32\\Msdds.dll /d everyone`\n\n## Solution\n\nSe r\u00e9f\u00e9rer au bulletin de s\u00e9curit\u00e9 de l'\u00e9diteur pour l'obtention des\ncorrectifs (voir avis CERTA-2005-AVI-396).\n","cves":[],"links":[{"title":"Avis CERTA-2005-AVI-396 :","url":"http://www.certa.ssi.gouv.fr/site/CERTA-2005-AVI-396/CERTA-2005-AVI-396.html"}],"reference":"CERTA-2005-ALE-008","revisions":[{"description":"version initiale.","revision_date":"2005-08-19T00:00:00.000000"},{"description":"ajout de la section Solution et mise \u00e0 jour de la section Documentation.","revision_date":"2006-04-12T00:00:00.000000"}],"risks":[{"description":"Ex\u00e9cution de code arbitraire \u00e0 distance"}],"summary":"Une vuln\u00e9rabilit\u00e9 dans la biblioth\u00e8que msdds.dll permettrait l'ex\u00e9cution\nde code arbitraire \u00e0 distance via Internet Explorer.\n","title":"Possible vuln\u00e9rabilit\u00e9 de la biblioth\u00e8que msdds.dll","vendor_advisories":[{"published_at":null,"title":"Bulletin de s\u00e9curit\u00e9 Microsoft 906267 du 18 ao\u00fbt 2005","url":"http://www.microsoft.com/technet/security/advisory/906267.mspx"}]}