Modèle de document MSRC

Bulletin de sécurité Microsoft MS15-118 - Important

Mise à jour de sécurité pour .NET Framework pour résoudre un problème d'élévation de privilèges (3104507)

Date de publication : 10 novembre 2015 | Date de mise à jour : 9 février 2016

Version : 2.0

Synthèse

Cette mise à jour de sécurité corrige des vulnérabilités dans Microsoft .NET Framework. La plus grave de ces vulnérabilités pourrait permettre une élévation de privilèges si un attaquant parvient à convaincre un utilisateur d'accéder à un site web compromis ou d'ouvrir un lien dans un courrier électronique spécialement conçu dans le but d'injecter du code côté client dans le navigateur de l'utilisateur.

Cette mise à jour de sécurité est de niveau « Important » pour Microsoft .NET Framework 2.0 Service Pack 2, Microsoft .NET Framework 3.5, Microsoft .NET Framework 3.5.1, Microsoft .NET Framework 4, Microsoft .NET Framework 4.5, Microsoft .NET Framework 4.5.1 et Microsoft .NET Framework 4.5.2 et Microsoft .NET Framework 4.6 sur les éditions concernées de Microsoft Windows. Pour plus d'informations, consultez la section Logiciels concernés.

Ces mises à jour de sécurité corrigent les vulnérabilités en modifiant la manière dont ASP.NET valide la valeur d'une requête HTTP, en corrigeant la manière dont .NET Framework analyse certains fichiers XML spécialement créés et en veillant à ce qu'un composant .NET implémente correctement la fonctionnalité de sécurité ASLR. Pour obtenir plus d'informations sur cette vulnérabilité, consultez la sous-section « Forum aux questions » spécifique à chaque vulnérabilité.

Pour plus d'informations sur cette mise à jour, voir l'Article 3104507 de la Base de connaissances Microsoft.

Logiciels concernés et indices de gravité de la vulnérabilité

Les versions ou éditions répertoriées ci-dessous sont concernées. Les versions ou éditions non répertoriées ont atteint la fin de leur cycle de vie ou ne sont pas concernées. Consultez le site web Politique de Support Microsoft afin de connaître la politique de support Microsoft pour votre version ou édition.

Les indices de gravité suivants considèrent l'impact potentiel maximal de la vulnérabilité. Pour plus d'informations sur les risques dans les 30 jours suivant la publication d'un Bulletin concernant l'exploitabilité de la vulnérabilité par rapport à son indice de gravité et à son impact, consultez l'Indice d'exploitabilité dans la synthèse des Bulletins de sécurité de novembre.

Système d'exploitation

Composant

Vulnérabilité de divulgation d'informations .NET - CVE-2015-6096

Vulnérabilité d'élévation de privilèges dans .NET - CVE-2015-6099

Contournement d'ASLR .NET - CVE-2015-6115

Mises à jour remplacées

Windows Vista

Windows Vista Service Pack 2

Microsoft .NET Framework 2.0 Service Pack 2

Important
Divulgation d'informations
(3097988)

Non concerné

Important
Contourner la fonctionnalité de sécurité
(3097988)

3097988 remplace 2979568 dans le Bulletin MS14-057

Windows Vista Service Pack 2

Microsoft .NET Framework 4[1]

Important
Divulgation d'informations
(3097994)

Important
Élévation de privilèges
(3098778)

Non concerné

3097994 remplace 2979575 dans le Bulletin MS14-057
3098778 remplace 2656351 dans le Bulletin MS11-100 et 2901110 dans le Bulletin MS14-009

Windows Vista Service Pack 2

Microsoft .NET Framework 4.5/4.5.1/4.5.2

Important
Divulgation d'informations
(3097996)

Important
Élévation de privilèges
(3098781)

Non concerné

3097996 remplace 2979578 dans le Bulletin MS14-057
3098781 remplace 2901126 dans le Bulletin MS14-009

Windows Vista Service Pack 2

Microsoft .NET Framework 4,6

Important
Divulgation d'informations
(3098001)

Important
Élévation de privilèges
(3098786)

Non concerné

Aucune

Windows Vista Édition x64 Service Pack 2

Microsoft .NET Framework 2.0 Service Pack 2

Important
Divulgation d'informations
(3097988)

Non concerné

Important
Contourner la fonctionnalité de sécurité
(3097988)

3097988 remplace 2979568 dans le Bulletin MS14-057

Windows Vista Édition x64 Service Pack 2

Microsoft .NET Framework 4[1]

Important
Divulgation d'informations
(3097994)

Important
Élévation de privilèges
(3098778)

Non concerné

3097994 remplace 2979575 dans le Bulletin MS14-057
3098778 remplace 2656351 dans le Bulletin MS11-100 et 2901110 dans le Bulletin MS14-009

Windows Vista Édition x64 Service Pack 2

Microsoft .NET Framework 4.5/4.5.1/4.5.2

Important
Divulgation d'informations
(3097996)

Important
Élévation de privilèges
(3098781)

Non concerné

3097996 remplace 2979578 dans le Bulletin MS14-057
3098781 remplace 2901126 dans le Bulletin MS14-009

Windows Vista Édition x64 Service Pack 2

Microsoft .NET Framework 4,6

Important
Divulgation d'informations
(3098001)

Important
Élévation de privilèges
(3098786)

Non concerné

Aucune

Windows Server 2008

Windows Server 2008 pour systèmes 32 bits Service Pack 2

Microsoft .NET Framework 2.0 Service Pack 2

Important
Divulgation d'informations
(3097988)

Non concerné

Important
Contourner la fonctionnalité de sécurité
(3097988)

3097988 remplace 2979568 dans le Bulletin MS14-057

Windows Server 2008 pour systèmes 32 bits Service Pack 2

Microsoft .NET Framework 4[1]

Important
Divulgation d'informations
(3097994)

Important
Élévation de privilèges
(3098778)

Non concerné

3097994 remplace 2979575 dans le Bulletin MS14-057
3098778 remplace 2656351 dans le Bulletin MS11-100 et 2901110 dans le Bulletin MS14-009

Windows Server 2008 pour systèmes 32 bits Service Pack 2

Microsoft .NET Framework 4.5/4.5.1/4.5.2

Important
Divulgation d'informations
(3097996)

Important
Élévation de privilèges
(3098781)

Non concerné

3097996 remplace 2979578 dans le Bulletin MS14-057
3098781 remplace 2901126 dans le Bulletin MS14-009

Windows Server 2008 pour systèmes 32 bits Service Pack 2

Microsoft .NET Framework 4,6

Important
Divulgation d'informations
(3098001)

Important
Élévation de privilèges
(3098786)

Non concerné

Aucune

Windows Server 2008 R2 pour système x64 Service Pack 2

Microsoft .NET Framework 2.0 Service Pack 2

Important
Divulgation d'informations
(3097988)

Non concerné

Important
Contourner la fonctionnalité de sécurité
(3097988)

3097988 remplace 2979568 dans le Bulletin MS14-057

Windows Server 2008 R2 pour système x64 Service Pack 2

Microsoft .NET Framework 4[1]

Important
Divulgation d'informations
(3097994)

Important
Élévation de privilèges
(3098778)

Non concerné

3097994 remplace 2979575 dans le Bulletin MS14-057
3098778 remplace 2656351 dans le Bulletin MS11-100 et 2901110 dans le Bulletin MS14-009

Windows Server 2008 R2 pour système x64 Service Pack 2

Microsoft .NET Framework 4.5/4.5.1/4.5.2

Important
Divulgation d'informations
(3097996)

Important
Élévation de privilèges
(3098781)

Non concerné

3097996 remplace 2979578 dans le Bulletin MS14-057
3098781 remplace 2901126 dans le Bulletin MS14-009

Windows Server 2008 R2 pour système x64 Service Pack 2

Microsoft .NET Framework 4,6

Important
Divulgation d'informations
(3098001)

Important
Élévation de privilèges
(3098786)

Non concerné

Aucune

Windows Server 2008 pour systèmes Itanium Service Pack 2

Microsoft .NET Framework 2.0 Service Pack 2

Important
Divulgation d'informations
(3097988)

Non concerné

Important
Contourner la fonctionnalité de sécurité
(3097988)

3097988 remplace 2979568 dans le Bulletin MS14-057

Windows Server 2008 pour systèmes Itanium Service Pack 2

Microsoft .NET Framework 4[1]

Important
Divulgation d'informations
(3097994)

Important
Élévation de privilèges
(3098778)

Non concerné

3097994 remplace 2979575 dans le Bulletin MS14-057
3098778 remplace 2656351 dans le Bulletin MS11-100 et 2901110 dans le Bulletin MS14-009

Windows 7

Windows 7 pour systèmes 32 bits Service Pack 1

Microsoft .NET Framework 3.5.1

Important
Divulgation d'informations
(3097989)

Non concerné

Important
Contourner la fonctionnalité de sécurité
(3097989)

3097989 remplace 2979570 dans le Bulletin MS14-057

Windows 7 pour systèmes 32 bits Service Pack 1

Microsoft .NET Framework 4[1]

Important
Divulgation d'informations
(3097994)

Important
Élévation de privilèges
(3098778)

Non concerné

3097994 remplace 2979575 dans le Bulletin MS14-057
3098778 remplace 2656351 dans le Bulletin MS11-100 et 2901110 dans le Bulletin MS14-009

Windows 7 pour systèmes 32 bits Service Pack 1

Microsoft .NET Framework 4.5/4.5.1/4.5.2

Important
Divulgation d'informations
(3097996)

Important
Élévation de privilèges
(3098781)

Non concerné

3097996 remplace 2979578 dans le Bulletin MS14-057
3098781 remplace 2901126 dans le Bulletin MS14-009

Windows 7 pour systèmes 32 bits Service Pack 1

Microsoft .NET Framework 4,6

Important
Divulgation d'informations
(3098001)

Important
Élévation de privilèges
(3098786)

Non concerné

Aucune

Windows 7 pour systèmes x64 Service Pack 1

Microsoft .NET Framework 3.5.1

Important
Divulgation d'informations
(3097989)

Non concerné

Important
Contourner la fonctionnalité de sécurité
(3097989)

3097989 remplace 2979570 dans le Bulletin MS14-057

Windows 7 pour systèmes x64 Service Pack 1

Microsoft .NET Framework 4[1]

Important
Divulgation d'informations
(3097994)

Important
Élévation de privilèges
(3098778)

Non concerné

3097994 remplace 2979575 dans le Bulletin MS14-057
3098778 remplace 2656351 dans le Bulletin MS11-100 et 2901110 dans le Bulletin MS14-009

Windows 7 pour systèmes x64 Service Pack 1

Microsoft .NET Framework 4.5/4.5.1/4.5.2

Important
Divulgation d'informations
(3097996)

Important
Élévation de privilèges
(3098781)

Non concerné

3097996 remplace 2979578 dans le Bulletin MS14-057
3098781 remplace 2901126 dans le Bulletin MS14-009

Windows 7 pour systèmes x64 Service Pack 1

Microsoft .NET Framework 4,6

Important
Divulgation d'informations
(3098001)

Important
Élévation de privilèges
(3098786)

Non concerné

Aucune

Windows Server 2008 R2

Windows Server 2008 R2 pour systèmes x64 Service Pack 1

Microsoft .NET Framework 3.5.1

Important
Divulgation d'informations
(3097989)

Non concerné

Important
Contourner la fonctionnalité de sécurité
(3097989)

3097989 remplace 2979570 dans le Bulletin MS14-057

Windows Server 2008 R2 pour systèmes x64 Service Pack 1

Microsoft .NET Framework 4[1]

Important
Divulgation d'informations
(3097994)

Important
Élévation de privilèges
(3098778)

Non concerné

3097994 remplace 2979575 dans le Bulletin MS14-057
3098778 remplace 2656351 dans le Bulletin MS11-100 et 2901110 dans le Bulletin MS14-009

Windows Server 2008 R2 pour systèmes x64 Service Pack 1

Microsoft .NET Framework 4.5/4.5.1/4.5.2

Important
Divulgation d'informations
(3097996)

Important
Élévation de privilèges
(3098781)

Non concerné

3097996 remplace 2979578 dans le Bulletin MS14-057
3098781 remplace 2901126 dans le Bulletin MS14-009

Windows Server 2008 R2 pour systèmes x64 Service Pack 1

Microsoft .NET Framework 4,6

Important
Divulgation d'informations
(3098001)

Important
Élévation de privilèges
(3098786)

Non concerné

Aucune

Windows Server 2008 R2 pour systèmes Itanium Service Pack 1

Microsoft .NET Framework 3.5.1

Important
Divulgation d'informations
(3097989)

Non concerné

Important
Contourner la fonctionnalité de sécurité
(3097989)

3097989 remplace 2979570 dans le Bulletin MS14-057

Windows Server 2008 R2 pour systèmes Itanium Service Pack 1

Microsoft .NET Framework 4[1]

Important
Divulgation d'informations
(3097994)

Important
Élévation de privilèges
(3098778)

Non concerné

3097994 remplace 2979575 dans le Bulletin MS14-057
3098778 remplace 2656351 dans le Bulletin MS11-100 et 2901110 dans le Bulletin MS14-009

Windows 8.1 et Windows 8

Windows 8 pour systèmes 32 bits

Microsoft .NET Framework 3,5

Important
Divulgation d'informations
(3097991)

Non concerné

Important
Contourner la fonctionnalité de sécurité
(3097991)

3097991 remplace 2979571 dans le Bulletin MS14-057

Windows 8 pour systèmes 32 bits

Microsoft .NET Framework 4.5/4.5.1/4.5.2

Important
Divulgation d'informations
(3097995)

Important
Élévation de privilèges
(3098780)

Non concerné

3098780 remplace 2901127 dans le Bulletin MS14-009

Windows 8 pour systèmes 32 bits

Microsoft .NET Framework 4,6

Important
Divulgation d'informations
(3097999)

Important
Élévation de privilèges
(3098784)

Non concerné

Aucune

Windows 8 pour systèmes x64

Microsoft .NET Framework 3,5

Important
Divulgation d'informations
(3097991)

Non concerné

Important
Contourner la fonctionnalité de sécurité
(3097991)

3097991 remplace 2979571 dans le Bulletin MS14-057

Windows 8 pour systèmes x64

Microsoft .NET Framework 4.5/4.5.1/4.5.2

Important
Divulgation d'informations
(3097995)

Important
Élévation de privilèges
(3098780)

Non concerné

3098780 remplace 2901127 dans le Bulletin MS14-009

Windows 8 pour systèmes x64

Microsoft .NET Framework 4,6

Important
Divulgation d'informations
(3097999)

Important
Élévation de privilèges
(3098784)

Non concerné

Aucune

Windows 8.1 pour systèmes 32 bits

Microsoft .NET Framework 3,5

Important
Divulgation d'informations
(3097992)

Non concerné

Important
Contourner la fonctionnalité de sécurité
(3097992)

3097992 remplace 2979573 dans le Bulletin MS14-057

Windows 8.1 pour systèmes 32 bits

Microsoft .NET Framework 4.5.1/4.5.2

Important
Divulgation d'informations
(3097997)

Important
Élévation de privilèges
(3098779)

Non concerné

3097997 remplace 2979576 dans le Bulletin MS14-057
3098779 remplace 2901128 dans le Bulletin MS14-009

Windows 8.1 pour systèmes 32 bits

Microsoft .NET Framework 4,6

Important
Divulgation d'informations
(3098000)

Important
Élévation de privilèges
(3098785)

Non concerné

Aucune

Windows 8,1 pour systèmes x64

Microsoft .NET Framework 3,5

Important
Divulgation d'informations
(3097992)

Non concerné

Important
Contourner la fonctionnalité de sécurité
(3097992)

3097992 remplace 2979573 dans le Bulletin MS14-057

Windows 8,1 pour systèmes x64

Microsoft .NET Framework 4.5.1/4.5.2

Important
Divulgation d'informations
(3097997)

Important
Élévation de privilèges
(3098779)

Non concerné

3097997 remplace 2979576 dans le Bulletin MS14-057
3098779 remplace 2901128 dans le Bulletin MS14-009

Windows 8,1 pour systèmes x64

Microsoft .NET Framework 4,6

Important
Divulgation d'informations
(3098000)

Important
Élévation de privilèges
(3098785)

Non concerné

Aucune

Windows Server 2012 et Windows Server 2012 R2

Windows Server 2012

Microsoft .NET Framework 3,5

Important
Divulgation d'informations
(3097991)

Non concerné

Important
Contourner la fonctionnalité de sécurité
(3097991)

3097991 remplace 2979571 dans le Bulletin MS14-057

Windows Server 2012

Microsoft .NET Framework 4.5/4.5.1/4.5.2

Important
Divulgation d'informations
(3097995)

Important
Élévation de privilèges
(3098780)

Non concerné

3098780 remplace 2901127 dans le Bulletin MS14-009

Windows Server 2012

Microsoft .NET Framework 4,6

Important
Divulgation d'informations
(3097999)

Important
Élévation de privilèges
(3098784)

Non concerné

Aucune

Windows Server 2012 R2

Microsoft .NET Framework 3,5

Important
Divulgation d'informations
(3097992)

Non concerné

Important
Contourner la fonctionnalité de sécurité
(3097992)

3097992 remplace 2979573 dans le Bulletin MS14-057

Windows Server 2012 R2

Microsoft .NET Framework 4.5.1/4.5.2

Important
Divulgation d'informations
(3097997)

Important
Élévation de privilèges
(3098779)

Non concerné

3097997 remplace 2979576 dans le Bulletin MS14-057
3098779 remplace 2901128 dans le Bulletin MS14-009

Windows Server 2012 R2

Microsoft .NET Framework 4,6

Important
Divulgation d'informations
(3098000)

Important
Élévation de privilèges
(3098785)

Non concerné

Aucune

Windows RT et Windows RT 8.1

Windows RT

Microsoft .NET Framework 4.5/4.5.1/4.5.2[2]

Important
Divulgation d'informations
(3097995)

Important
Élévation de privilèges
(3098780)

Non concerné

Aucune

Windows RT

Microsoft .NET Framework 4,6[2]

Important
Divulgation d'informations
(3097999)

Important
Élévation de privilèges
(3098784)

Non concerné

Aucune

Windows RT 8.1

Microsoft .NET Framework 4.5.1/4.5.2[2]

Important
Divulgation d'informations
(3097997)

Important
Élévation de privilèges
(3098779)

Non concerné

3097997 remplace 2979576 dans le Bulletin MS14-057
3098779 remplace 2901128 dans le Bulletin MS14-009

Windows RT 8.1

Microsoft .NET Framework 4,6[2]

Important
Divulgation d'informations
(3098000)

Important
Élévation de privilèges
(3098785)

Non concerné

Aucune

Windows 10

Windows 10 pour systèmes 32 bits[3]

Microsoft .NET Framework 3,5

Important
Divulgation d'informations
(3105213)

Non concerné

Important
Contourner la fonctionnalité de sécurité
(3105213)

3097617

Windows 10 pour systèmes 32 bits[3]

Microsoft .NET Framework 4,6

Important
Divulgation d'informations
(3105213)

Important
Élévation de privilèges
(3105213)

Non concerné

3097617

Windows 10 pour systèmes x64 [3]

Microsoft .NET Framework 3,5

Important
Divulgation d'informations
(3105213)

Non concerné

Important
Contourner la fonctionnalité de sécurité
(3105213)

3097617

Windows 10 pour systèmes x64 [3]

Microsoft .NET Framework 4,6

Important
Divulgation d'informations
(3105213)

Important
Élévation de privilèges
(3105213)

Non concerné

3097617

Option d'installation Server Core

Windows Server 2008 R2 pour systèmes x64 Service Pack 1 (installation Server Core)

Microsoft .NET Framework 3.5.1

Important
Divulgation d'informations
(3097989)

Non concerné

Important
Contourner la fonctionnalité de sécurité
(3097989)

3097989 remplace 2979570 dans le Bulletin MS14-057

Windows Server 2008 R2 pour systèmes x64 Service Pack 1 (installation Server Core)

Microsoft .NET Framework 4[1]

Important
Divulgation d'informations
(3097994)

Important
Élévation de privilèges
(3098778)

Non concerné

3097994 remplace 2979575 dans le Bulletin MS14-057
3098778 remplace 2656351 dans le Bulletin MS11-100 et 2901110 dans le Bulletin MS14-009

Windows Server 2008 R2 pour systèmes x64 Service Pack 1 (installation Server Core)

Microsoft .NET Framework 4.5/4.5.1/4.5.2

Important
Divulgation d'informations
(3097996)

Important
Élévation de privilèges
(3098781)

Non concerné

3098781 remplace 2901126 dans le Bulletin MS14-009

Windows Server 2008 R2 pour systèmes x64 Service Pack 1 (installation Server Core)

Microsoft .NET Framework 4,6

Important
Divulgation d'informations
(3098001)

Important
Élévation de privilèges
(3098786)

Non concerné

Aucune

Windows Server 2012 (installation Server Core )

Microsoft .NET Framework 3,5

Important
Divulgation d'informations
(3097991)

Non concerné

Important
Contourner la fonctionnalité de sécurité
(3097991)

3097991 remplace 2979571 dans le Bulletin MS14-057

Windows Server 2012 (installation Server Core )

Microsoft .NET Framework 4.5/4.5.1/4.5.2

Important
Divulgation d'informations
(3097995)

Important
Élévation de privilèges
(3098780)

Non concerné

3098780 remplace 2901127 dans le Bulletin MS14-009

Windows Server 2012 (installation Server Core )

Microsoft .NET Framework 4,6

Important
Divulgation d'informations
(3097999)

Important
Élévation de privilèges
(3098784)

Non concerné

Aucune

Windows Server 2012 (installation Server Core )

Microsoft .NET Framework 3,5

Important
Divulgation d'informations
(3097992)

Non concerné

Important
Contourner la fonctionnalité de sécurité
(3097992)

3097992 remplace 2979573 dans le Bulletin MS14-057

Windows Server 2012 (installation Server Core )

Microsoft .NET Framework 4.5.1/4.5.2

Important
Divulgation d'informations
(3097997)

Important
Élévation de privilèges
(3098779)

Non concerné

3097997 remplace 2979576 dans le Bulletin MS14-057
3098779 remplace 2901128 dans le Bulletin MS14-009

Windows Server 2012 (installation Server Core )

Microsoft .NET Framework 4,6

Important
Divulgation d'informations
(3098000)

Important
Élévation de privilèges
(3098785)

Non concerné

Aucune

[1].NET Framework 4 et .NET Framework 4 Client Profile sont affectés.

[2]Cette mise à jour est disponible via Windows Update uniquement.

Remarque Windows Technical Preview 3 est concerné. Les clients exécutant ce système d'exploitation sont invités à appliquer la mise à jour, qui est disponible via Windows Update.

Forum aux questions concernant les mises à jour

Comment puis-je savoir quelle version de Microsoft .NET Framework est installée ?
Vous pouvez installer et exécuter plusieurs versions de .NET Framework sur un système et installer ces versions dans n'importe quel ordre. Pour plus d'informations, voir l'Article 318785 de la Base de connaissances Microsoft.

Quelle est la différence entre .NET Framework 4 et .NET Framework 4 Client Profile?
Les packages redistribuables .NET Framework version 4 sont disponibles en deux profils : .NET Framework 4 et .NET Framework 4 Client Profile. .NET Framework 4 Client Profile est un sous-ensemble du profil .NET Framework 4 optimisé pour les applications clientes. Il fournit des fonctionnalités pour la plupart des applications clientes, notamment Windows Presentation Foundation (WPF), Windows Forms, Windows Communication Foundation (WCF) et les fonctionnalités ClickOnce. Les applications qui ciblent .NET Framework 4 Client Profile bénéficient d'un déploiement plus rapide et de packages d'installation de plus petite taille. Pour plus d'informations, consultez l'article MSDN intitulé .NET Framework Client Profile.

Plusieurs packages de mise à jour sont disponibles pour certains des logiciels concernés. Dois-je installer toutes les mises à jour répertoriées dans le tableau « Logiciels concernés » pour le logiciel ?
Oui. Les clients doivent appliquer toutes les mises à jour proposées pour les logiciels installés sur leur système.

Dois-je installer ces mises à jour de sécurité dans un ordre particulier ?
Non. Lorsqu'il existe plusieurs mises à jour pour un système donné, elles peuvent être appliquées dans n'importe quel ordre.

Informations par vulnérabilité

Vulnérabilité de divulgation d'informations .NET - CVE-2015-6096

Il existe une vulnérabilité de divulgation d'informations lorsque .NET Framework analyse la DTD de certains fichiers XML spécialement conçus. Un attaquant qui réussirait à exploiter cette vulnérabilité pourrait obtenir un accès en lecture aux fichiers locaux situés sur le système cible.

Pour exploiter cette vulnérabilité, un attaquant doit convaincre un utilisateur de télécharger et d'ouvrir un fichier d'application spécialement conçu. Un attaquant n'aurait toutefois aucun moyen de forcer un utilisateur à télécharger le fichier. Cette mise à jour corrige la vulnérabilité en modifiant la manière dont .NET Framework analyse certains fichiers XML spécialement conçus.

Microsoft a été informée de cette vulnérabilité par une divulgation de vulnérabilité coordonnée. Au moment de la publication initiale de ce bulletin de sécurité, Microsoft n'était au courant d'aucune attaque visant à exploiter cette vulnérabilité.

Facteurs atténuants

Microsoft n'a identifié aucun facteur atténuant pour cette vulnérabilité.

Solutions de contournement

Microsoft n'a identifié aucune solution de contournement pour cette vulnérabilité.

Vulnérabilité d'élévation de privilèges dans .NET - CVE-2015-6099

Il existe une vulnérabilité d'élévation de privilèges lorsqu'ASP.NET valide de manière incorrecte des valeurs dans des requêtes HTTP, exposant ainsi des utilisateurs à une attaque de script inter-site (XSS) potentielle. Un attaquant qui parviendrait à exploiter cette vulnérabilité pourrait exploiter un site web vulnérable pour injecter du script côté client dans le navigateur d'un utilisateur et, au final, modifier ou usurper du contenu, se livrer à du hameçonnage, divulguer des informations ou effectuer au niveau du site web vulnérable des actions que l'utilisateur cible est autorisé à exécuter.

Pour exploiter cette vulnérabilité, une interaction avec l'utilisateur est requise. Dans un scénario de navigation web, un utilisateur devrait accéder à un site web compromis. Dans le cas d'une attaque par courrier électronique, un attaquant devrait convaincre un utilisateur connecté à un serveur vulnérable à cliquer sur un lien spécialement conçu dans un message électronique. Cette mise à jour corrige la vulnérabilité en modifiant la façon dont ASP.NET valide la valeur d'une requête HTTP.

Microsoft a été informée de cette vulnérabilité par une divulgation de vulnérabilité coordonnée. Au moment de la publication initiale de ce bulletin de sécurité, Microsoft n'était au courant d'aucune attaque visant à exploiter cette vulnérabilité.

Facteurs atténuants

Microsoft n'a identifié aucun facteur atténuant pour cette vulnérabilité.

Solutions de contournement

Microsoft n'a identifié aucune solution de contournement pour cette vulnérabilité.

Les solutions de contournement suivantes peuvent être utiles, selon votre situation :

  • Suppression de la clé requestPathInvalidCharacters de web.config

    Pour contourner ce problème, les administrateurs peuvent supprimer le paramètre personnalisé <httpRuntime requestPathInvalidCharacters="" /> de web.config, ou au moins inclure « : » dans le paramètre requestPathInvalidCharacters.

    Procédure d'annulation de cette solution de contournement :

    Restauration de la ligne <httpRuntime requestPathInvalidCharacters="" /> précédemment supprimée.

Contournement d'ASLR .NET - CVE-2015-6115

Il existe un contournement de la fonctionnalité de sécurité dans un composant .NET Framework qui n'implémente pas correctement la fonctionnalité de sécurité de randomisation du format d'espace d'adresse (ASLR), qui protège les utilisateurs d'un grand nombre de vulnérabilités. Le contournement d'ASLR permettrait à un attaquant de contourner la fonctionnalité de sécurité et de charger ensuite un autre code malveillant pour tenter d'exploiter une autre vulnérabilité. Le contournement de la fonctionnalité de sécurité ne suffit pas pour exécuter du code arbitraire. Toutefois, un attaquant pourrait utiliser ce contournement d'ASLR en combinaison avec une autre vulnérabilité, telle qu'une vulnérabilité d'exécution de code à distance, pour exécuter du code arbitraire.

Pour exploiter le contournement d'ASLR, un attaquant pourrait héberger un site web spécialement conçu (ou exploiter des sites web compromis ou des sites web qui acceptent ou hébergent du contenu potentiellement compromis provenant d'utilisateurs). Un attaquant n'aurait aucun moyen d'obliger les utilisateurs à visiter un site web spécialement conçu. L'attaquant devrait les convaincre de le faire. Par exemple, l'attaquant pourrait inciter un utilisateur à cliquer sur un lien qui le mènerait sur le site compromis. Si l'utilisateur emploie un navigateur web capable d'instancier des composants COM, comme Internet Explorer, le composant .NET Framework affecté peut être chargé pour contourner la fonctionnalité de sécurité ASLR. Un attaquant pourrait alors tirer parti du contournement ASLR pour exploiter une autre vulnérabilité, en général une vulnérabilité d'exécution de code à distance. Par exemple, une vulnérabilité d'exécution de code à distance normalement bloquée par ASLR pourrait être exploitée après un contournement d'ASLR réussi. Cette mise à jour corrige le contournement d'ASLR en veillant à ce que le composant .NET implémente correctement la fonctionnalité de sécurité ASLR.

Microsoft a été informée de cette vulnérabilité par une divulgation de vulnérabilité coordonnée. Au moment de la publication initiale de ce bulletin de sécurité, Microsoft n'était au courant d'aucune attaque visant à exploiter cette vulnérabilité.

Facteurs atténuants

Microsoft n'a identifié aucun facteur atténuant pour cette vulnérabilité.

Solutions de contournement

Microsoft n'a identifié aucune solution de contournement pour cette vulnérabilité.

Déploiement de la mise à jour de sécurité

Pour plus d'informations sur le déploiement des mises à jour de sécurité, consultez l'article de la Base de connaissances Microsoft référencé ici dans la synthèse.

Remerciements

Microsoft reconnaît les efforts des professionnels de la sécurité qui contribuent à protéger les clients par une divulgation coordonnée des vulnérabilités. Reportez-vous à la page Remerciements pour plus d'informations.

Clause d’exclusion de responsabilité

Les informations fournies dans la Base de connaissances Microsoft sont fournies sans aucune garantie. Microsoft exclut toute garantie expresse ou implicite, notamment toute garantie de qualité et d'adéquation à un usage particulier. En aucun cas, la société Microsoft ou ses fournisseurs ne pourront être tenus pour responsables de quelque dommage que ce soit, y compris toute perte de bénéfices directe, indirecte ou accessoire, ou de dommages spéciaux, même si la société Microsoft a été prévenue de l'éventualité de tels dommages. Certains pays ne permettent pas l'exclusion ou la limitation de responsabilité pour les dommages indirects ou accessoires de sorte que la limitation ci-dessus peut ne pas appliquer.

Révisions

  • V1.0 (10.11.15) : Bulletin publié.
  • V2.0 (9 février 2016) : Bulletin mis à jour pour annoncer la réédition de la mise à jour 3098785 afin de résoudre des problèmes connus, décrits dans l'Article 3118750 de la Base de connaissances Microsoft, que les clients utilisant Windows 8.1, Windows RT ou Windows Server 2012 R2 peuvent avoir rencontrés après l'installation de .NET Framework 4.6 sur un ordinateur sur lequel une version entièrement mise à jour de .NET Framework 4.5.x est installée. Microsoft recommande que les clients recherchent de nouvelles mises à jour disponibles au téléchargement et installent la mise à jour 3098785 rééditée. Pour plus d'informations, voir l'Article 3118750 de la Base de connaissances Microsoft.

Page générée le 08/02/2016 17:09-08:00.