Risque
- Exécution de code arbitraire
Systèmes affectés
- Microsoft Access 2000 ;
- Microsoft Access 2002 ;
- Microsoft Access 97 ;
- Microsoft Access Snapshot Viewer (téléchargeable).
Résumé
Une vulnérabilité de type débordement de mémoire permet l'exécution de code arbitraire sur une machine possédant Microsoft Access Snapshot Viewer, par le biais d'un site web malicieusement construit.
Description
Microsoft Access Snapshot Viewer permet de visualiser un aperçu instantané d'une base de données Access, sans avoir installé l'ensemble du logiciel Microsoft Access.
Microsoft Access Snapshot Viewer est présent dans toutes les versions d'Access, même s'il n'est pas installé par défaut. Il peut également être téléchargé séparément.
Microsoft Access Snapshot Viewer utilise un contrôle ActiveX, dont une des fonctions comporte une vulnérabilité de type débordement de mémoire.
Un utilisateur mal intentionné peut créer une page web faisant malicieusement appel au contrôle ActiveX vulnérable, et inciter une victime potentielle à s'y rendre. Il pourra dans ce cas exécuter du code arbitraire sur la machine, avec les privilèges de l'utilisateur victime.
Solution
Appliquer le correctif fourni par Microsoft (cf. Documentation).
Documentation
- Avis de sécurité Microsoft MS03-038: http://www.microsoft.com/technet/security/bulletin/ms03-038.asp
