{"$ref":"https://www.cert.ssi.gouv.fr/openapi.json","affected_systems":[{"description":"Microsoft Windows Server 2003 Service Pack 1 ;","product":{"name":"Windows","vendor":{"name":"Microsoft","scada":false}}},{"description":"Microsoft Windows Server 2003 Service Pack 2.","product":{"name":"Windows","vendor":{"name":"Microsoft","scada":false}}},{"description":"Microsoft Windows 2000 Service Pack 4 ;","product":{"name":"Windows","vendor":{"name":"Microsoft","scada":false}}}],"affected_systems_content":null,"closed_at":"2007-05-09","content":"## Description\n\nUne vuln\u00e9rabilit\u00e9 a \u00e9t\u00e9 identifi\u00e9e dans Microsoft DNS Server. Un\nd\u00e9bordement de tampon est possible via des appels RPC (pour Remote\nProcedure Call). Cette vuln\u00e9rabilit\u00e9 permet d'ex\u00e9cuter du code\narbitraire \u00e0 distance avec les droits de l'utilisateur local SYSTEM.\n\nElle peut \u00eatre exploit\u00e9e via les ports RPC, de 1024 \u00e0 5000 (TCP ou UDP)\nou, par un utilisateur authentifi\u00e9, via les ports 445/TCP et 139/TCP.\n\nLe trafic des serveurs DNS devrait \u00eatre limit\u00e9 aux ports d\u00e9di\u00e9s, i.e. 53\nTCP/UDP. Cependant, dans de nombreux cas, les serveurs DNS Microsoft\nsont utilis\u00e9s dans les r\u00e9seaux locaux, et cumulent d'autres services\n(FTP, HTTP, etc.). Ils peuvent aussi \u00eatre install\u00e9s par d\u00e9faut avec un\nActive Directory. Tout ceci contribue \u00e0 rendre le filtrage de ces\nmachines difficiles \u00e0 ma\u00eetriser.\n\nDes codes d'exploitation sont actuellement largement diffus\u00e9s sur\nl'Internet. Cette vuln\u00e9rabilit\u00e9 a \u00e9t\u00e9 \u00e9voqu\u00e9e dans le bulletin\nd'actualit\u00e9 CERTA-2007-ACT-015.\n\nL'avis CERTA-2007-AVI-209 sorti le 09 mai 2007 signale la publication de\ncorrectifs d\u00e9taill\u00e9s dans le bulletin de s\u00e9curit\u00e9 Microsoft MS07-029.\n\n## Contournement provisoire\n\nQuelques contournements sont possibles pour limiter les risques :\n\n1.  Modifier dans la cl\u00e9 de registre suivante\n\n        HKLM\\SYSTEM\\CurrentControlSetService\\Services\\DNS\\Parameters\n\n    la valeur du param\u00e8tre RpcProtocol :\n\n    -   la valeur 4 permet d'interdire la gestion et la configuration\n        distante du serveur DNS par RPC ou WMI. Cependant, cela est\n        toujours possible localement, ou par un acc\u00e8s Terminal Serveur.\n    -   la valeur 0 d\u00e9sactive toute possibilit\u00e9 de gestion DNS par RPC\n        (administration locale et configuration). Ce choix est donc\n        fortement recommand\u00e9 dans la mesure du possible.\n\n2.  V\u00e9rifier la politique de filtrage vis-\u00e0-vis des serveurs DNS\n    Microsoft, et notamment les r\u00e8gles qui concernent le trafic \u00e0\n    destination des ports TCP ou UDP 445, 139 et de 1024 \u00e0 5000. Si\n    ceux-ci ne sont pas n\u00e9cessaires, ils doivent \u00eatre bloqu\u00e9s.\n\n3.  Utiliser des outils de surveillance p\u00e9riph\u00e9riques \u00e0 jour\n    (renifleurs, ou sondes de d\u00e9tection d'intrusions), et analyser les\n    journaux du serveur, afin de d\u00e9terminer toute activit\u00e9 suspecte.\n\n## Solution\n\nSe r\u00e9f\u00e9rer au bulletin de s\u00e9curit\u00e9 Microsoft MS07-029 pour l'application\ndes correctifs (cf. Documentation).\n","cves":[{"name":"CVE-2007-1748","url":"https://www.cve.org/CVERecord?id=CVE-2007-1748"}],"links":[{"title":"Avis CERTA-2007-AVI-209 du 09 mai 2007 :","url":"http://www.certa.ssi.gouv.fr/site/CERTA-2007-AVI-209/"},{"title":"Bulletin Microsoft MS07-029 du 08 mai 2007 :","url":"http://www.microsoft.com/france/technet/security/bulletin/ms07-029.mspx"},{"title":"Alerte de s\u00e9curit\u00e9 de l'US-CERT TA07-103A du 13 avril 2007    :","url":"http://www.us-cert.gov/cas/techalerts/TA07-103A.html"},{"title":"Document du CERTA CERTA-2007-ACT-015 du 13 avril 2007 :","url":"http://www.certa.ssi.gouv.fr/site/CERTA-2007-ACT-015.pdf"},{"title":"Bulletin Microsoft MS07-029 du 08 mai 2007 :","url":"http://www.microsoft.com/technet/security/bulletin/ms07-029.mspx"}],"reference":"CERTA-2007-ALE-010","revisions":[{"description":"version initiale.","revision_date":"2007-04-16T00:00:00.000000"},{"description":"ajout de la surveillance du port 139/TCP et ajout de la r\u00e9f\u00e9rence au bulletin de s\u00e9curit\u00e9 de Microsoft.","revision_date":"2007-04-20T00:00:00.000000"},{"description":"ajout des r\u00e9f\u00e9rences aux bulletins MS07-029 et CERTA-2007-AVI-209.","revision_date":"2007-05-09T00:00:00.000000"}],"risks":[{"description":"Ex\u00e9cution de code arbitraire \u00e0 distance"}],"summary":"Une vuln\u00e9rabilit\u00e9 a \u00e9t\u00e9 identifi\u00e9e dans Microsoft DNS Server. Un\nd\u00e9bordement de tampon est possible via l'interface RPC (pour <span\nclass=\"textit\">Remote Procedure Call</span>). Cette vuln\u00e9rabilit\u00e9 permet\nd'ex\u00e9cuter du code arbitraire \u00e0 distance avec les droits de\nl'utilisateur local SYSTEM.\n","title":"Vuln\u00e9rabilit\u00e9 de Microsoft DNS Server","vendor_advisories":[{"published_at":null,"title":"Avis de s\u00e9curit\u00e9 Microsoft 935964 du 12 avril 2007","url":"http://www.microsoft.com/technet/security/advisory/935964.mspx"}]}