S.G.D.S.N

Agence nationale
de la sécurité des
systèmes d'information

Paris, le 16 octobre 2003
N° CERTA-2003-AVI-168
Affaire suivie par: CERT-FR

Avis du CERT-FR

Objet: Vulnérabilité dans Microsoft Messenger Service

Gestion du document

Référence CERTA-2003-AVI-168
Titre Vulnérabilité dans Microsoft Messenger Service
Date de la première version16 octobre 2003
Date de la dernière version16 octobre 2003
Source(s) Bulletin de sécurité Microsoft MS03-043
Pièce(s) jointe(s) Aucune(s)
Tableau 1: Gestion du document

Une gestion de version détaillée se trouve à la fin de ce document.

Risques

  • Exécution de code arbitraire à distance
  • Élévation de privilèges

Systèmes affectés

  • Microsoft Windows 2000, Service Pack 2 ;
  • Microsoft Windows 2000, Service Pack 3, Service Pack 4 ;
  • Microsoft Windows NT Server 4.0, Service Pack 6a ;
  • Microsoft Windows NT Server 4.0, Terminal Server Edition, Service Pack 6 ;
  • Microsoft Windows NT Workstation 4.0, Service Pack 6a ;
  • Microsoft Windows Server 2003 64-bit Edition.
  • Microsoft Windows Server 2003 ;
  • Microsoft Windows XP 64-bit Edition ;
  • Microsoft Windows XP 64-bit Edition Version 2003 ;
  • Microsoft Windows XP Gold, Service Pack 1 ;

Résumé

Une vulnérabilité dans le service d'envoi de messages Microsoft (Microsoft Messenger Service) permet à un utilisateur mal intentionné d'exécuter du code arbitraire à distance avec les privilèges Local System.

Description

Microsoft Messenger Service est un service permettant l'envoi de messages via NetBIOS ou RPC. Une vulnérabilité dans le service permet à un utilisateur mal intentionné de réaliser un débordement de tampon et ainsi exécuter du code arbitraire à distance avec les privilèges Local System.

Contournement Provisoire

  • Filtrer les ports UDP 135, 137 et 138 et les ports TCP 135, 139 et 445 ;
  • Désactiver le service Microsoft Messenger Service.

Solution

Appliquer le correctif fourni par Microsoft suivant la version du système d'exploitation (cf. Documentation).

Documentation

Gestion détaillée du document

    le 16 octobre 2003
    version initiale.