Avis du CERT-FR

Json

Objet : Vulnérabilité dans Microsoft Time

Gestion du document

Référence	CERTA-2011-AVI-687
Titre	Vulnérabilité dans Microsoft Time
Date de la première version	14 décembre 2011
Date de la dernière version	14 décembre 2011
Source(s)	Bulletin de sécurité MS11-090 du 13 décembre 2011

Une gestion de version détaillée se trouve à la fin de ce document.

Risque

Exécution de code arbitraire à distance

Systèmes affectés

Windows 7 pour systèmes 32 bits ;
Windows 7 pour systèmes 32 bits Service Pack 1 ;
Windows 7 pour systèmes x64 ;
Windows 7 pour systèmes x64 Service Pack 1 ;
Windows Server 2003 avec SP2 pour systèmes Itanium ;
Windows Server 2003 Service Pack 2 ;
Windows Server 2003 Édition x64 Service Pack 2 ;
Windows Server 2008 pour systèmes 32 bits Service Pack 2 ;
Windows Server 2008 pour systèmes 64 bits Service Pack 2 ;
Windows Server 2008 pour systèmes Itanium Service Pack 2 ;
Windows Server 2008 R2 pour systèmes Itanium ;
Windows Server 2008 R2 pour systèmes Itanium Service Pack 1.
Windows Server 2008 R2 pour systèmes x64 ;
Windows Server 2008 R2 pour systèmes x64 Service Pack 1 ;
Windows Vista Service Pack 2 ;
Windows Vista Édition x64 Service Pack 2 ;
Windows XP Professionnel Édition x64 Service Pack 2 ;
Windows XP Service Pack 3 ;

Résumé

Une vulnérabilité dans Microsoft Time permet l'exécution de code arbitraire à distance.

Description

Une vulnérabilité a été découverte dans Microsoft Time. Un attaquant peut, par le biais d'une page Web spécifique, provoquer l'exécution de code arbitraire à distance. La vulnérabilité n'est pas corrigée par Microsoft, mais un contournement est mis en place au moyen d'un kill bit. D'autres kill bits sont mis à jour par le correctif de Microsoft.

Solution

Se référer au bulletin de sécurité de l'éditeur pour l'obtention des correctifs (cf. section Documentation).

Documentation

Bulletin de sécurité Microsoft MS11-090 du 13 décembre 2011 :
http://technet.microsoft.com/fr-fr/security/bulletin/MS11-090
Bulletin de sécurité Microsoft MS11-090 du 13 décembre 2011 :
http://technet.microsoft.com/en-us/security/bulletin/MS11-090
Référence CVE CVE-2011-3397
https://www.cve.org/CVERecord?id=CVE-2011-3397

Gestion détaillée du document

Date	Description
14 décembre 2011	version initiale.