Risque
- Exécution de code arbitraire à distance
Systèmes affectés
- Microsoft Office 2004 pour Mac ;
- Microsoft Office 2008 pour Mac.
- Microsoft Office Compatibility Pack pour Word, Excel et Powerpoint 2007, Service Pack 1 ;
- Microsoft Office Excel 2000 Service Pack 3 ;
- Microsoft Office Excel 2002 Service Pack 3 ;
- Microsoft Office Excel 2003 Service Pack 3 ;
- Microsoft Office Excel 2007 Service Pack 1 ;
- Microsoft Office Excel Viewer 2003 ;
- Microsoft Office Excel Viewer 2003 Service Pack 3 ;
- Microsoft Office Excel Viewer ;
Résumé
Une vulnérabilité a été identifiée sur Microsoft Excel. L'exploitation de cette dernière par le biais d'un document spécialement conçu permet à une personne malveillante d'exécuter du code arbitraire à distance sur un poste ayant une version vulnérable de l'application.
Description
Une vulnérabilité a été identifiée sur l'application bureautique Microsoft Excel.
L'exploitation de cette vulnérabilité par le biais d'un document XLS spécialement conçu permet à une personne malveillante d'exécuter du code arbitraire à distance sur un poste ayant une version vulnérable de l'application.
Contournement provisoire
Dans l'attente d'un correctif, plusieurs mesures permettent de réduire l'impact de l'exploitation de cette vulnérabilité :
- travailler avec un compte utilisateur aux droits restreints (principe du moindre privilège) ;
- utiliser l'outil de conversion MOICE (Microsoft Office Isolated Conversion Environment) pour convertir tout fichier XLS en XSLX avant son ouverture ;
- activer la mesure (très restrictive) FileBlock, imposant l'ouverture unique des fichiers au nouveau format XML. Les détails pratiques se trouvent dans l'avis de sécurité Microsoft ;
- utiliser un logiciel alternatif (visualisateur, tableur ou suite bureautique) ;
- n'ouvrir que des documents issus de sources de confiance ;
- être circonspect à l'égard des pièces jointes de courriels et des documents téléchargés.
Solution
Se référer au bulletin de sécurité de l'éditeur pour l'obtention des correctifs (cf. section Documentation).
Documentation
- Avis de sécurité Microsoft 968272 du 24 février 2009 http://www.microsoft.com/technet/security/advisory/968272.mspx
- Bulletin de sécurité Microsoft MS09-009 du 14 avril 2009 http://www.microsoft.com/technet/security/Bulletin/MS09-009.mspx
- Article du bloc-notes MSRC correspondant : http://blogs.technet.com/msrc/archive/2009/02/24/microsoft-security-advisory-968272.aspx
- Article du bloc-notes SWI correspondant : http://blogs.technet.com/swi/archive/2009/02/24/more-information-about-the-new-excel-vulnerability.aspx
- Avis du CERTA numéro CERTA-2009-AVI-147 du 15 avril 2009 : http://www.certa.ssi.gouv.fr/site/CERTA-2009-ALE-002/index.html
- Référence CVE CVE-2009-0238 : http://www.cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2009-0238
- Référence CVE CVE-2009-0100 https://www.cve.org/CVERecord?id=CVE-2009-0100
- Référence CVE CVE-2009-0238 https://www.cve.org/CVERecord?id=CVE-2009-0238
