Avis du CERT-FR
Objet : Vulnérabilité dans le contrôle ActiveX TSAC
Gestion du document
Une gestion de version détaillée se trouve à la fin de ce document.
Risque
- Exécution de code arbitraire
Systèmes affectés
Tous les systèmes Windows.
Résumé
Une vulnérabilité dans le contrôle ActiveX Terminal Services Advanced Client (TSAC) permet à un utilisateur mal intentionné d'exécuter du code arbitraire sur le système.
Description
Le contrôle web du Terminal Services Advanced Client (TSAC) est un contrôle ActiveX qui peut être utilisé pour lancer des sessions Terminal Services dans Internet Explorer. Le contrôle TSAC n'est pas installé par défaut sur les systèmes Windows client. Dès lors qu'un client Windows se connecte à un serveur IIS qui utilise le contrôle TSAC, le téléchargement depuis le serveur et l'installation du contrôle TSAC sont réalisés par le client.
Le contrôle TSAC contient une vulnérabilité de type débordement de mémoire. Cette vulnérabilité permet à un utilisateur mal intentionné d'exécuter du code arbitraire sur le système client dans le contexte de sécurité de l'utilisateur connecté.
Solution
Télécharger le correctif.
-
Pour les webmestres qui utilisent TSAC sur leur site :
http://www.microsoft.com/windowsxp/pro/downloads/rdwebconn.asp -
Pour les utilisateurs d'Internet Explorer :
http://www.microsoft.com/windows/ie/downloads/critical/q323759ie/default.asp
Documentation
-
Avis de sécurité Microsoft MS02-046 :
http://www.microsoft.com/technet/security/bulletin/MS02-046.asp
Gestion détaillée du document
| Date | Description |
|---|---|
| 23 août 2002 | version initiale. |