|
Vulnérabilité
critique non corrigée dans Word (22/03/08)
RESUME :
Un nouveau défaut de sécurité a été
identifié dans le traitement de texte Word. L'exploitation
d'une erreur de programmation dans le composant Microsoft Jet Database
Engine (msjet40.dll) peut permettre à un individu malveillant
ou à un virus d'exécuter à distance du code
malicieux sur l'ordinateur de sa victime à l'ouverture d'un
document piégé. Les ordinateurs sous Windows Vista
et Windows 2003 SP 2 ne sont pas vulnérables.
LOGICIEL(S)
CONCERNE(S) :
Microsoft Word 2007
Microsoft Word 2003
Microsoft Word 2002
Microsoft Word 2000
Microsoft Office 2007
Microsoft Office 2003
Microsoft Office XP
Microsoft Office 2000
RISQUE :
Critique
CORRECTIF
:
Aucun correctif n'est disponible pour le moment car ce défaut
de sécurité a été découvert alors
qu'il était déjà exploité de façon
malveillante (0-day). Les ordinateurs fonctionnant sous Windows
Vista et Windows 2003 Service Pack 2 ne sont toutefois pas vulnérables
même si une des applications ci-dessus est installée,
car ils intègrent une nouvelle version du composant Microsoft
Jet Database Engine. Pour vérifier si votre ordinateur est
vulnérable :
- lancez une recherche sur le fichier "msjet40.dll"
(sans les guillemets) ;
- faites un clic droit sur le fichier trouvé présent
dans le répertoire Windows/system32 (si aucun fichier n'est
trouvé alors l'ordinateur n'est pas vulnérable,
vérifier éventuellement que le nom recherché
est correct) ;
- sélectionnez "Propriétés", puis
cliquez sur l'onglet "Version" ;
- si le numéro de version indiqué est inférieur
à 4.0.9505.0 (par exemple 4.0.8618.0), l'ordinateur est
vulnérable. Il sera nécessaire d'installer le correctif
dès qu'il sera disponible, afin de corriger ce défaut
de sécurité.
En attendant la publication d'un correctif officiel, les utilisateurs
concernés peuvent appliquer les mesures suivantes afin de
réduire les risques d'exploitation malveillante :
- ne pas utiliser une application vulnérable (voir liste
ci-dessus) pour ouvrir les fichiers d'origine douteuse ni ceux
reçus de manière inattendue d'une source sûre
(demander le cas échéant confirmation de l'envoi)
;
- se montrer particulièrement vigilant dans son utilisation
d'Internet, notamment vis-à-vis des fichiers douteux, des
liens hypertextes non sollicités ou des sites web non reconnus
comme sûrs ;
- tenir à jour son antivirus. Les éditeurs publient
généralement de nouvelles signatures pour tenter
de reconnaître et d'intercepter les fichiers malicieux exploitant
les défauts de sécurité non corrigés.
Les utilisateurs concernés peuvent également s'abonner
gratuitement à la
lettre Secuser Securite pour être informés par
courrier électronique de la disponibilité du correctif
officiel dès sa publication.
INFORMATIONS
COMPLEMENTAIRES :
-> Microsoft
Security Advisory (950627) (en anglais)
-> FAQ
: comment savoir si ce logiciel est installé sur mon ordinateur?
-> FAQ
: comment déterminer le numéro de version de votre
logiciel?
-> Abonnement
gratuit à la lettre Secuser Securite pour être informé
par courriel des nouvelles failles
|
