Failles : 7 défauts dont 5 critiques chez Microsoft

Source de cet article: Réseaux¬Télécoms

Dans le flot des alertes, on trouve même un B.O. « critique » ( MS03-043 ) concernant le service Messenger (net send). Ce même service d’alerte qui, il n’y a pas si longtemps, était considéré comme fiable et inoffensif, malgré l’usage contre nature que pouvaient en faire certains spammeurs utilisant cette antiquité protocolaire (l’équivalent du write all d’Unix) pour afficher des « pop up » publicitaires.
La faille en question a été découverte par l’équipe du LSD, dont la précédente révélation d’inconsistance concernant Windows est encore dans toutes les mémoires. ISS, pour sa part, émet un communiqué frisant l’apoplexie : l’alerte n’est pas critique, elle dépasse en dangerosité potentielles le cortège des sept cavaliers de l’apocalypse.
Il faut dire que l’appel relativement récent de ports dynamiques (au-delà de 1024 udp) et l’universalité de SMB (qui peut très bien se propager sur du Netbeui, de l’IPX ou du DecNet) font de ce canal une arme redoutable. Remarquons au passage que le service en question, code fossile hérité d’OS/2, n’est plus « monté » par défaut sous 2003 Server.
La tendance actuelle consiste donc à désactiver ledit programme (via la MMC des services). Les habitués de Winpopup et les rapides « net send *‘’c’est l’heure de la soupe, on se retrouve à l’annexe’’ » devront se faire une raison : messenger est à ranger à coté des « outils incontournable » d’autrefois, devenus depuis des « hérésies sécuritaires à effacer immédiatement » comme telnet et finger.

La faille MS03-044, une fois n’est pas coutume, est considérée comme peu dommageable sur les « anciennes » plateformes, mais « critique » sous XP et 2003 Server. Elle affecte le Help and Support Center et repose directement sur le protocole HCP. Un exploit, estime le security team de Microsoft, est tout à fait possible en utilisant un site Web « leurrant » l’usager.
Encore un risque de pseudo Web d’attaque avec la MS03-042, qui touche un contrôle ActiveX. Comme dans bien des cas, MS met aux rangs des « mitigating factors » le fait que le code exécutable à distance ne peut bénéficier que du privilège de l’usager. Or, par défaut, l’utilisateur-installateur des XP actuellement commercialisés ont droit d’admin. En outre, on ne compte pas les utilisateurs, y compris les plus zélés des professionnels, ne supportant pas l’idée de travailler avec des attributs autres que ceux de « Dieu le Père ».
C’est déplorable… mais c’est humain. Il serait peut-être temps que Microsoft fasse preuve de sa « vision objective des réalités du marché » tant clamée et supprime de ses alertes ce « factor » qui n’est pas plus « mitigating » que beurre en broche.

La série continue avec la MS03-041. Dans certaines conditions de pénurie de mémoire libre, le mécanisme Authenticode laisse agir un contrôle ActiveX de téléchargement et d’exécution de code sans alerter le moins du monde l’utilisateur du système. La traditionnelle fenêtre d’approbation ne s’affiche plus (ce qui, si l’exploit commence à circuler, risque de faire le bonheur des « dialers » de services téléphoniques « roses »).

Les autres trous de sécurités concernent moins directement le noyau : une élévation de privilège exploitable uniquement en « logon interactif » signalé par l’alerte MS03-045, et deux problèmes liés aux outils de messagerie, l’un touchant l’OWA d’Exchange 5.5 et qui permettrait une attaque en cross-scripting (alerte MS03-047 ), et l’autre affectant les serveurs Exchange 5.5 (SP4) et 2000 (SP3). Une requête forgée sur le port smtp peut, sous Exchange 5.5, provoquer un écroulement de la mémoire et une interruption de service (DoS), attaque pouvant être plus sophistiquée face à un Exchange 2000 puisque pouvant conduire à une saturation de tampon, laquelle autoriserait à son tour l’exécution d’un code à distance.