Risque
- Exécution de code arbitraire à distance
Systèmes affectés
- Microsoft Windows 2000 Service Pack 4 ;
- Microsoft Windows Server 2003 et Windows Server 2003 Service Pack 1 (versions pour systèmes Itanium comprises) ;
- Microsoft Windows Server 2003 x64 Edition.
- Microsoft Windows XP Professional x64 Edition ;
- Microsoft Windows XP Service Pack 2 ;
Résumé
Une vulnérabilité a été identifiée dans Microsoft Agent. Une personne malveillante pourrait exploiter celle-ci afin d'exécuter des commandes arbitraires sur la machine vulnérable.
Description
Une vulnérabilité a été identifiée dans Microsoft Agent, un ensemble de services permettant la représentation d'agents logiciels comme des personnalités interactives. Il ne manipulerait pas correctement certains fichiers d'extension .ACF (pour Microsoft Agent Character File).
Une personne malveillante pourrait exploiter cette vulnérabilité en construisant une page Web particulière. La visite de cette dernière pourrait alors provoquer l'exécution de code arbitraire sur le système vulnérable. Cette attaque nécessite cependant que le navigateur accepte les contrôles ActiveX.
Solution
Se référer au bulletin de sécurité MS06-068 de Microsoft pour l'obtention des correctifs (cf. section Documentation).
Documentation
- Bulletin de sécurité Microsoft MS06-068 du 14 novembre 2006 http://www.microsoft.com/technet/security/Bulletin/MS06-068.mspx
- Référence CVE CVE-2006-3445 https://www.cve.org/CVERecord?id=CVE-2006-3445
