Objet: Vulnérabilité dans Microsoft Excel

Risque

Exécution de code arbitraire à distance.

Systèmes affectés

• Microsoft Office Excel 2000 Service Pack 3 ;
• Microsoft Office Excel 2002 Service Pack 3 ;
• Microsoft Office Excel 2003 Service Pack 3 ;
• Microsoft Office Excel 2007 Service Pack 1 ;
• Microsoft Office Excel Viewer 2003 ;
• Microsoft Office Excel Viewer 2003 Service Pack 3 ;
• Microsoft Office Excel Viewer ;
• Microsoft Office Compatibility Pack pour Word, Excel et Powerpoint 2007, Service Pack 1 ;
• Microsoft Office 2004 pour Mac ;
• Microsoft Office 2008 pour Mac.

Résumé

Une vulnérabilité a été identifiée sur Microsoft Excel. L'exploitation de cette dernière par le biais d'un document spécialement conçu permet à une personne malveillante d'exécuter du code arbitraire à distance sur un poste ayant une version vulnérable de l'application.

Description

Une vulnérabilité a été identifiée sur l'application bureautique Microsoft Excel.

L'exploitation de cette vulnérabilité par le biais d'un document XLS spécialement conçu permet à une personne malveillante d'exécuter du code arbitraire à distance sur un poste ayant une version vulnérable de l'application.

Contournement provisoire

Dans l'attente d'un correctif, plusieurs mesures permettent de réduire l'impact de l'exploitation de cette vulnérabilité :

• travailler avec un compte utilisateur aux droits restreints (principe du moindre privilège) ;
• utiliser l'outil de conversion MOICE (Microsoft Office Isolated Conversion Environment) pour convertir tout fichier XLS en XSLX avant son ouverture ;
• activer la mesure (très restrictive) FileBlock, imposant l'ouverture unique des fichiers au nouveau format XML. Les détails pratiques se trouvent dans l'avis de sécurité Microsoft ;
• utiliser un logiciel alternatif (visualisateur, tableur ou suite bureautique) ;
• n'ouvrir que des documents issus de sources de confiance ;
• être circonspect à l'égard des pièces jointes de courriels et des documents téléchargés.

Solution

Se référer au bulletin de sécurité de l'éditeur pour l'obtention des correctifs (cf. section Documentation).

Documentation

• Bulletin de sécurité Microsoft MS09-009 du 14 avril 2009 :

  http://www.microsoft.com/france/technet/security/Bulletin/MS09-009.mspx
  

  http://www.microsoft.com/technet/security/Bulletin/MS09-009.mspx
  

• Avis de sécurité Microsoft 968272 du 24 février 2009 :

  http://www.microsoft.com/technet/security/advisory/968272.mspx
  

• Article du bloc-notes MSRC correspondant :

  http://blogs.technet.com/msrc/archive/2009/02/24/microsoft-security-advisory-968272.aspx
  

• Article du bloc-notes SWI correspondant :

  http://blogs.technet.com/swi/archive/2009/02/24/more-information-about-the-new-excel-vulnerability.aspx
  

• Référence CVE CVE-2009-0100 :

  https://www.cve.org/CVERecord?id=CVE-2009-0100
  

• Référence CVE CVE-2009-0238 :

  http://www.cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2009-0238
  

• Avis du CERTA numéro CERTA-2009-AVI-147 du 15 avril 2009 :

  http://www.certa.ssi.gouv.fr/site/CERTA-2009-ALE-002/index.html