Bulletin de sécurité Microsoft MS15-004 - Important

Une vulnérabilité dans des composants Windows pourrait permettre une élévation de privilèges (3025421)

Date de publication : 13 janvier 2015

Version : 1.0

Synthèse

Cette mise à jour de sécurité corrige une vulnérabilité signalée à titre privé dans Microsoft Windows. Cette vulnérabilité pourrait permettre une élévation de privilèges si un attaquant parvenait à convaincre un utilisateur d'exécuter une application spécialement conçue. Un attaquant qui parviendrait à exploiter cette vulnérabilité pourrait obtenir les mêmes droits d'utilisateur que l'utilisateur actuel. Si l'utilisateur actuel a ouvert une session avec des privilèges d'administrateur, un attaquant pourrait alors installer des programmes, afficher, modifier ou supprimer des données, ou bien créer des comptes dotés de tous les privilèges. Les clients dont les comptes sont configurés avec des privilèges moins élevés sur le système peuvent subir un impact inférieur à ceux possédant des privilèges d'administrateur.

Cette mise à jour de sécurité est de niveau « important » pour toutes les éditions en cours de support de Windows Vista, Windows 7, Windows 2008 R2, Windows 8, Windows Server 2012, Windows RT, Windows 8.1, Windows Server 2012 R2 et Windows RT 8.1. Pour plus d'informations, consultez la section « Logiciels concernés ».

La mise à jour de sécurité corrige la vulnérabilité en modifiant la façon dont Windows expurge les chemins d'accès aux fichiers. Pour plus d'informations sur la vulnérabilité, consultez la section Informations par vulnérabilité.

Pour plus d'informations sur cette mise à jour, consultez l'Article 3025421 de la Base de connaissances Microsoft.

Logiciels concernés

Les versions ou éditions répertoriées ci-dessous sont concernées. Les versions ou éditions non répertoriées ont atteint la fin de leurs cycles de vie ou ne sont pas concernées. Consultez le site web Politique de Support Microsoft afin de connaître la politique de support Microsoft pour votre version ou édition.

Système d'exploitation

Impact de sécurité maximal

Indice de gravité cumulée

Mises à jour remplacées

Windows Vista

Windows Vista Service Pack 2 (avec le client Remote Desktop 7.0 installé)
(3023299)

Élévation de privilèges

Important

Aucun

Windows Vista Édition x64 Service Pack 2 (avec le client Remote Desktop 7.0 installé)
(3023299)

Élévation de privilèges

Important

Aucun

Windows 7

Windows 7 pour systèmes 32 bits Service Pack 1
(3019978)

Élévation de privilèges

Important

Aucun

Windows 7 pour systèmes 32 bits Service Pack 1 (avec le client Remote Desktop 8.0 installé)
(3020387)

Élévation de privilèges

Important

Aucun

Windows 7 pour systèmes 32 bits Service Pack 1 (avec le client Remote Desktop 8.1 installé)
(3020388)

Élévation de privilèges

Important

Aucun

Windows 7 pour systèmes x64 Service Pack 1
(3019978)

Élévation de privilèges

Important

Aucun

Windows 7 pour systèmes x64 Service Pack 1 (avec le client Remote Desktop 8.0 installé)
(3020387)

Élévation de privilèges

Important

Aucun

Windows 7 pour systèmes x64 Service Pack 1 (avec le client Remote Desktop 8.1 installé)
(3020388)

Élévation de privilèges

Important

Aucun

Windows Server 2008 R2

Windows Server 2008 R2 pour systèmes x64 Service Pack 1
(3019978)

Élévation de privilèges

Important

Aucun

Windows Server 2008 R2 pour systèmes x64 Service Pack 1 (avec le client Remote Desktop 8.0 installé)
(3020387)

Élévation de privilèges

Important

Aucun

Windows Server 2008 R2 pour systèmes x64 Service Pack 1 (avec le client Remote Desktop 8.1 installé)
(3020388)

Élévation de privilèges

Important

Aucun

Windows Server 2008 R2 pour systèmes Itanium Service Pack 1
(3019978)

Élévation de privilèges

Important

Aucun

Windows 8 et Windows 8.1

Windows 8 pour systèmes 32 bits
(3019978)

Élévation de privilèges

Important

Aucun

Windows 8 pour systèmes x64
(3019978)

Élévation de privilèges

Important

Aucun

Windows 8.1 pour systèmes 32 bits
(3019978)

Élévation de privilèges

Important

Aucun

Windows 8.1 pour systèmes x64
(3019978)

Élévation de privilèges

Important

Aucun

Windows Server 2012 et Windows Server 2012 R2

Windows Server 2012
(3019978)

Élévation de privilèges

Important

Aucun

Windows Server 2012 R2
(3019978)

Élévation de privilèges

Important

Aucun

Windows RT et Windows RT 8.1

Windows RT[1] (3019978)

Élévation de privilèges

Important

Aucun

Windows RT 8.1[1] (3019978)

Élévation de privilèges

Important

Aucun

Option d'installation Server Core

Windows Server 2008 R2 pour systèmes x64 Service Pack 1 (installation Server Core)
(3019978)

Élévation de privilèges

Important

Aucun

Windows Server 2012 (installation Server Core)
(3019978)

Élévation de privilèges

Important

Aucun

Windows Server 2012 R2 (installation Server Core)
(3019978)

Élévation de privilèges

Important

Aucun

[1]Cette mise à jour est disponible via Windows Update uniquement.

Forum aux questions concernant les mises à jour

Plusieurs packages de mise à jour sont disponibles pour certains des logiciels concernés. Dois-je installer toutes les mises à jour répertoriées dans le tableau « Logiciels concernés » pour les logiciels ?
Oui. Les clients doivent appliquer toutes les mises à jour proposées pour les logiciels installés sur leurs systèmes.

Dois-je installer ces mises à jour de sécurité dans un ordre particulier ?
Non. Quand il existe plusieurs mises à jour pour un système donné, elles peuvent être appliquées dans n'importe quel ordre.

Indices de gravité et identificateurs de vulnérabilité

Les indices de gravité suivants considèrent l'impact potentiel maximal de la vulnérabilité. Pour plus d'informations sur les risques dans les 30 jours suivant la publication d'un Bulletin concernant l'exploitabilité de la vulnérabilité par rapport à son indice de gravité et à son impact, consultez l'Indice d'exploitabilité dans la synthèse des Bulletins de sécurité de janvier.

Indice de gravité par vulnérabilité et Impact de sécurité maximal par logiciel concerné

Logiciels concernés

Vulnérabilité d'élévation de privilèges par traversée de répertoires - CVE-2015-0016

Indice de gravité cumulée

Windows Vista

Windows Vista Service Pack 2 (avec le client Remote Desktop 7.0 installé)
(3023299)

Important
Élévation de privilèges

Important

Windows Vista Édition x64 Service Pack 2 (avec le client Remote Desktop 7.0 installé)
(3023299)

Important
Élévation de privilèges

Important

Windows 7

Windows 7 pour systèmes 32 bits Service Pack 1
(3019978)

Important
Élévation de privilèges

Important

Windows 7 pour systèmes 32 bits Service Pack 1 (avec le client Remote Desktop 8.0 installé)
(3020387)

Important
Élévation de privilèges

Important

Windows 7 pour systèmes 32 bits Service Pack 1 (avec le client Remote Desktop 8.1 installé)
(3020388)

Important
Élévation de privilèges

Important

Windows 7 pour systèmes x64 Service Pack 1
(3019978)

Important
Élévation de privilèges

Important

Windows 7 pour systèmes x64 Service Pack 1 (avec le client Remote Desktop 8.0 installé)
(3020387)

Important
Élévation de privilèges

Important

Windows 7 pour systèmes x64 Service Pack 1 (avec le client Remote Desktop 8.1 installé)
(3020388)

Important
Élévation de privilèges

Important

Windows Server 2008 R2

Windows Server 2008 R2 pour systèmes x64 Service Pack 1
(3019978)

Important
Élévation de privilèges

Important

Windows Server 2008 R2 pour systèmes x64 Service Pack 1 (avec le client Remote Desktop 8.0 installé)
(3020387)

Important
Élévation de privilèges

Important

Windows Server 2008 R2 pour systèmes x64 Service Pack 1 (avec le client Remote Desktop 8.1 installé)
(3020388)

Important
Élévation de privilèges

Important

Windows Server 2008 R2 pour systèmes Itanium Service Pack 1
(3019978)

Important
Élévation de privilèges

Important

Windows 8 et Windows 8.1

Windows 8 pour systèmes 32 bits
(3019978)

Important
Élévation de privilèges

Important

Windows 8 pour systèmes x64
(3019978)

Important
Élévation de privilèges

Important

Windows 8.1 pour systèmes 32 bits
(3019978)

Important
Élévation de privilèges

Important

Windows 8.1 pour systèmes x64
(3019978)

Important
Élévation de privilèges

Important

Windows RT et Windows RT 8.1

Windows RT
(3019978)

Important
Élévation de privilèges

Important

Windows RT 8.1
(3019978)

Important
Élévation de privilèges

Important

Option d'installation Server Core

Windows Server 2008 R2 pour systèmes x64 Service Pack 1 (installation Server Core)
(3019978)

Important
Élévation de privilèges

Important

Windows Server 2012 (installation Server Core)
(3019978)

Important
Élévation de privilèges

Important

Windows Server 2012 R2 (installation Server Core)
(3019978)

Important
Élévation de privilèges

Important

Informations par vulnérabilité

Vulnérabilité d'élévation de privilèges par traversée de répertoires - CVE-2015-0016

Il existe une vulnérabilité d'élévation de privilèges dans le composant TS WebProxy Windows. Cette vulnérabilité se manifeste quand Windows ne parvient pas à expurger correctement les chemins d'accès aux fichiers. Un attaquant qui parviendrait à exploiter cette vulnérabilité pourrait obtenir les mêmes droits d'utilisateur que l'utilisateur actuel. Si l'utilisateur actuel a ouvert une session avec des privilèges d'administrateur, un attaquant pourrait alors installer des programmes, afficher, modifier ou supprimer des données, ou bien créer des comptes dotés de tous les privilèges. Les clients dont les comptes sont configurés avec des privilèges moins élevés sur le système peuvent subir un impact inférieur à ceux possédant des privilèges d'administrateur. La mise à jour corrige la vulnérabilité en modifiant la façon dont Windows expurge les chemins d'accès aux fichiers.

Pour exploiter cette vulnérabilité, un attaquant devrait profiter d'une vulnérabilité existante dans Internet Explorer en amenant un utilisateur à télécharger une application spécialement conçue. Dans le cas d'une attaque web, l'attaquant devrait héberger un site web conçu pour tenter d'exploiter cette vulnérabilité. En outre, les sites web compromis et les sites web qui acceptent ou hébergent du contenu provenant d'utilisateurs pourraient contenir du contenu spécialement conçu pour exploiter cette vulnérabilité. Cependant, l'attaquant n'aurait aucun moyen de forcer l'utilisateur à afficher le contenu contrôlé par l'attaquant. L'attaquant devrait convaincre les utilisateurs d'exécuter une action. Par exemple, l'attaquant pourrait inciter l'utilisateur à cliquer sur un lien qui mène à son site.

Cette vulnérabilité pourrait très probablement être utilisée en combinaison avec une autre vulnérabilité permettant l'exécution de code à distance. Par exemple, un attaquant pourrait exploiter une autre vulnérabilité pour exécuter du code arbitraire via Internet Explorer, mais en raison du contexte dans lequel les processus sont lancés par Internet Explorer, le code pourrait être limité à une exécution à un niveau d'intégrité faible (autorisations très limitées). Toutefois, un attaquant pourrait, à son tour, exploiter cette vulnérabilité pour que le code arbitraire s'exécute à un niveau d'intégrité moyen (autorisations de l'utilisateur actuel).

Microsoft a été informée de cette vulnérabilité par une divulgation de vulnérabilité coordonnée. Microsoft a connaissance des attaques limitées qui utilisent cette vulnérabilité avec d'autres pour obtenir une élévation de privilèges.

Facteurs atténuants

Microsoft n'a identifié aucun facteur atténuant pour cette vulnérabilité.

Solutions

Les solutions de contournement suivantes peuvent être utiles, selon votre situation :

  • Suppression de TSWbPrxy de la stratégie d'élévation IE

    Remarque : toute mauvaise utilisation de l'Éditeur du Registre peut générer des problèmes sérieux pouvant vous obliger à réinstaller votre système d'exploitation. Microsoft ne peut pas garantir que les problèmes résultant d'une mauvaise utilisation de l'Éditeur du Registre puissent être résolus. Vous assumez l'ensemble des risques liés à l'utilisation de cet outil. Pour savoir comment modifier le Registre, consultez la rubrique d'Aide « Modifier des clés et des valeurs » dans l'Éditeur du Registre (Regedit.exe) ou les rubriques d'Aide « Ajouter et supprimer des informations dans le Registre » et « Modifier les données du Registre » dans Regedt32.exe.

    Utilisation de l'Éditeur du Registre :

    1. Cliquez sur Démarrer, sur Exécuter, tapez regedit dans la zone Ouvrir, puis cliquez sur OK.
    2. Dans l'Éditeur du Registre, recherchez la clé de Registre suivante et sélectionnez-la :

          HKEY_LOCAL_MACHINE\Software\Microsoft\Internet Explorer\Low Rights\ElevationPolicy
      
    3. Sélectionnez {B43A0C1E-B63F-4691-B68F-CD807A45DA01}

    4. Cliquez sur le menu Fichier et sélectionnez Exporter.
    5. Dans la boîte de dialogue Exporterun fichierdu Registre, tapez « tswebproxy_configuration_backup.reg », puis cliquez sur Enregistrer.
    6. Cliquez avec le bouton droit sur {B43A0C1E-B63F-4691-B68F-CD807A45DA01} , puis cliquez sur Supprimer.
    7. Cliquez sur OK.

    Impact de la solution. TSWbPrxy.exe ne s'exécute pas dans le bac à sable (sandbox) Internet Explorer.

    Comment annuler cette solution de contournement.

    En utilisant l'Éditeur du Registre :

    1. Cliquez sur Démarrer, sur Exécuter, tapez regedit dans la zone Ouvrir, puis cliquez sur OK.
    2. Cliquez sur le menu Fichier et sélectionnez Importer.
    3. Dans la boîte de dialogue Importer un fichier du Registre, sélectionnez « tswebproxy_configuration_backup.reg », puis cliquez sur Ouvrir.

Déploiement des mises à jour de sécurité

Pour plus d'informations sur le déploiement des mises à jour de sécurité, consultez l'article de la Base de connaissances Microsoft référencé ici dans la synthèse.

Remerciements

Microsoft reconnaît les efforts des professionnels de la sécurité qui contribuent à protéger les clients par une divulgation responsable des vulnérabilités. Reportez-vous à la page Remerciements pour plus d'informations.

Dédit de responsabilité

Les informations contenues dans la Base de connaissances Microsoft sont fournies « en l'état », sans garantie d'aucune sorte. Microsoft exclut toute garantie expresse ou implicite, notamment toute garantie de qualité et d'adéquation à un usage particulier. En aucun cas, la société Microsoft ou ses fournisseurs ne pourront être tenus pour responsables de quelque dommage que ce soit, y compris toute perte de bénéfices directe, indirecte ou accessoire, ou de dommages spéciaux, même si la société Microsoft a été prévenue de l'éventualité de tels dommages. Certains pays n'autorisent pas l'exclusion ou la limitation de responsabilité pour les dommages indirects ou accessoires, de sorte que la restriction mentionnée ci-dessus peut ne pas vous concerner.

Révisions

  • V1.0 (13 janvier 2015) : Bulletin publié.

Page generated 2015-01-07 12:32Z-08:00.