S.G.D.S.N

Agence nationale
de la sécurité des
systèmes d'information

Paris, le 26 avril 2002
N° CERTA-2002-AVI-087
Affaire suivie par: CERT-FR

Avis du CERT-FR

Objet: Vulnérabilité de l'éditeur de méls de Microsoft Outlook

Gestion du document

Référence CERTA-2002-AVI-087
Titre Vulnérabilité de l'éditeur de méls de Microsoft Outlook
Date de la première version26 avril 2002
Date de la dernière version26 avril 2002
Source(s) Bulletin Microsoft MS02-021
Pièce(s) jointe(s) Aucune(s)
Tableau 1: Gestion du document

Une gestion de version détaillée se trouve à la fin de ce document.

Risque

  • Exécution de code arbitraire

Systèmes affectés

  • Microsoft Outlook 2000 ;
  • Microsoft Outlook 2002.

Résumé

Un utilisateur d'Outlook utilisant l'option Word pour répondre à son courrier électronique peut exécuter à son insu du code arbitraire sur sa machine.

Description

Une option de Outlook permet de choisir Word comme éditeur de texte pour répondre au courrier électronique. Lors de la lecture d'un mél, Outlook utilise les paramètres de sécurité d'Internet Explorer. Par contre si la réponse s'effectue par le biais de Word, ce sont les paramètres de Word qui seront utilisés. Un utilisateur répondant à un courrier contenant un script malicieux exécutera alors, lors de la réponse, ce script sur sa machine.

Contournement provisoire

Ne pas selectionner WORD pour répondre au courrier dans la configuration d'Outlook.

Solution

Se référer au bulletin de sécurité de Microsoft (voir paragraphe Documentation) pour connaitre la disponibilité des correctifs.

Documentation

Gestion détaillée du document

    le 26 avril 2002
    version initiale.