Objet: Vulnérabilité dans le sous-système MS-DOS de Microsoft Windows

Résumé

Une vulnérabilité dans le sous-système MS-DOS de Microsoft Windows peut être exploitée par un utilisateur local malintentionné afin d'élever ses privilèges.

Description

Une vulnérabilité dans le sous-système MS-DOS (ntvdm.exe) et affectant potentiellement toutes les versions 32 bits de Microsoft Windows, permet à un utilisateur local d'élever ses privilèges au moyen d'un exécutable spécialement construit.

Le savoir-faire nécessaire pour exploiter cette vulnérabilité est d'ores et déjà disponible sur l'Internet.

Contournement provisoire

Le CERTA recommande de désactiver l'accès au sous-systèmes MS-DOS en modifiant les stratégies de groupes.

L'application de ce contournement provisoire peut avoir des effets de bords indésirable. En effet, certaines applications présentes nativement sur un système Microsoft Windows fonctionnent au moyen de l'accès au sous-système MS-DOS. Pour ne citer qu'un exemple, l'exécutable COMMAND.COM ne pourra donc plus fonctionner suite à l'application de ce contournement provisoire. Naturellement, tous les scripts faisant appel à des programmes nécessitant l'accès au sous-système MS-DOS ne seront plus opérationnels.

La désactivation du sous-système MS-DOS sous Microsoft Windows peut s'effectuer par les étapes suivantes :

• dans l'outil de configuration des stratégies de groupe, gpedit.msc ;
• sélectionner Modèles d'administration puis Composants Windows et enfin Compatibilité des applications ;
• choisir l'élément Empêcher l'accès aux applications 16-bit ;
• cocher l'option Activer dans les propriétés de l'élément.

Ce contournement peut également être appliqué par la modification ou la création de valeurs dans la base de registre du système :

• avec l'éditeur de la base de registre (regedit.exe) ;

• sélectionner la clé suivante :

  \HKEY_LOCAL_MACHINE}\SOFTWARE\Policies\Microsoft\Windows ;
  

• créer la clé AppCompat si celle-ci n'existe pas ;

• sélectionner cette nouvelle clé et créer une valeur VDMDisallowed avec le type DWORD ;

• mettre à 1 la donnée de la valeur précédente ; ou encore :

• sélectionner la clé : 

  \HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\WOW ;
  

• si la valeur DisallowedPolicyDefault n'existe pas, la créer avec le type DWORD ;

• modifier la donnée de la valeur DisallowedPolicyDefault en la mettant à 1.

Microsoft a publié un guide pour désactiver l'accès au sous-système MS-DOS (cf. section Documentation).

Solution

Le bulletin de sécurité MS010-015 de Microsoft corrige le problème.

Se référer au bulletin de sécurité de l'éditeur pour l'obtention des correctifs (cf. section Documentation).