S.G.D.S.N

Agence nationale
de la sécurité des
systèmes d'information

Paris, le 12 mai 2004
N° CERTA-2004-AVI-160
Affaire suivie par: CERT-FR

Avis du CERT-FR

Objet: Vulnérabilité dans le Centre d'Aide et de Support de Microsoft Windows

Gestion du document

Référence CERTA-2004-AVI-160
Titre Vulnérabilité dans le Centre d'Aide et de Support de Microsoft Windows
Date de la première version12 mai 2004
Date de la dernière version12 mai 2004
Source(s) Bulletin de sécurité #MS04-015 de Microsoft
Pièce(s) jointe(s) Aucune(s)
Tableau 1: Gestion du document

Une gestion de version détaillée se trouve à la fin de ce document.

Risque

  • Exécution de code arbitraire à distance

Systèmes affectés

  • Microsoft Windows XP ;
  • Microsoft Windows XP Service Pack 1 ;
  • Microsoft Windows XP 64-Bit Edition Service Pack 1 ;
  • Microsoft Windows XP 64-Bit Edition Version 2003 ;
  • Microsoft Windows Server 2003 ;
  • Microsoft Windows Server 2003 64-Bit Edition.

Les autres versions de Microsoft Windows ne sont pas affectées par cette vulnérabilité.

Résumé

Une vulnérabilité a été découverte dans le Centre d'Aide et de Support de certaines versions de Microsoft Windows.

Description

Le Centre d'Aide et de Support (Help and Support Center) est un service unifié permettant à l'utilisateur d'obtenir divers types d'assistance tels que l'accès aux informations du système ou à sa configuration. On peut y accéder à l'aide du protocole HCP (adresses réticulaires de type "hcp://").

Une vulnérabilité présente dans la gestion des liens réticulaires de type HCP permet à un individu mal intentionné d'exécuter du code arbitraire à distance à l'aide d'un site malicieux ou d'un message électronique malicieusement formé.

Contournement provisoire

  • Désactiver l'utilisation du protocole HCP dans la base de registres :

    Effacer la clé HKEY_CLASSES_ROOT\HCP du registre ;

  • mettre à jour les correctifs de sécurité, si vous utilisez Outlook 2000 Service Pack 1 ou les versions antérieures :

    http://www.microsoft.com/office/previous/outlook/2002security.asp

  • ne lire et n'envoyer vos messages éléctoniques qu'au format texte :

    http://www.certa.ssi.gouv.fr/site/CERTA-2000-INF-002/

Solution

Appliquer le correctif fourni par Microsoft (cf. Documentation).

Attention l'application des correctifs peut présenter certains problèmes si le Centre d'Aide et de Support est désactivé :

http://www.microsoft.com/default.asp?scid=kb;en-us;841996

Documentation

Gestion détaillée du document

    le 12 mai 2004
    version initiale.