CERTA-2010-ALE-010
Vulnerability from certfr_alerte
Une vulnérabilité dans le shell Windows permet à un utilisateur distant malintentionné d'exécuter du code arbitraire.
Description
Une vulnérabilité du shell Windows existe dans la gestion des fichiers de raccourcis .lnk et permet l'exécution à distance de code arbitraire avec les droits de l'utilisateur connecté sur la machine.
Les fichiers .lnk permettent de créer des raccourcis vers des fichiers ou des répertoires.
Microsoft a mis à jour son avis pour indiquer que les fichiers .pif sont aussi vulnérables.
L'exploitation de la vulnérabilité survient lors de l'ouverture, via l'explorateur Windows, d'un dossier contenant les fichiers malformés. La méthode d'infection typique est l'ouverture d'une clé USB infectée, l'exploitation fonctionnant même si Autorun a été désactivé.
Cependant, les périphériques USB ne sont qu'un vecteur d'exploitation, la vulnérabilité peut être aussi exploitée via des partages réseaux, des liens WebDav, ou tout autre vecteur menant à l'affichage des fichiers malformés dans l'explorateur de fichier Windows.
Cette vulnérabilité est activement exploitée sur l'Internet (voir l'alerter CERTA-2010-ALE-009).
Contournement provisoire
Comme documenté dans l'avis Microsoft #2286198, la désactivation de l'affichage des icônes des raccourcis .lnk et .pif empêche l'exploitation de la vulnérabilité.
Microsoft a publié un FixIt permettant de déployer le contournement plus facilement (voir section Documentation).
La procédure manuelle est :
-
Faire une copie du contenu de la clé de registre :
HKEY_CLASSES_ROOT\lnkfile\shellex\IconHandler; -
Puis, editer la valeur «Par défaut» de cette clé et en supprimer le contenu ;
-
Faire une copie du contenu de la clé de registre :
HKEY_CLASSES_ROOT\piffile\shellex\IconHandler; -
Puis, editer la valeur «Par défaut» de cette clé et en supprimer le contenu ;
-
Redémarrer la machine ou explorer.exe.
Attention, cette manipulation désactive l'affichage de tous les icônes des raccourcis , y compris ceux du menu démarrer de Windows.
Solution
Se référer au bulletin de sécurité Microsoft pour l'obtention des correctifs (cf. section Documentation).
Toutes les versions de Microsoft Windows.
| Vendor | Product | Description |
|---|
| Title | Publication Time | Tags | |
|---|---|---|---|
|
|
|||
{
"$ref": "https://www.cert.ssi.gouv.fr/openapi.json",
"affected_systems": [],
"affected_systems_content": "\u003cP\u003eToutes les versions de Microsoft Windows.\u003c/P\u003e",
"closed_at": "2010-08-03",
"content": "## Description\n\nUne vuln\u00e9rabilit\u00e9 du shell Windows existe dans la gestion des fichiers\nde raccourcis .lnk et permet l\u0027ex\u00e9cution \u00e0 distance de code arbitraire\navec les droits de l\u0027utilisateur connect\u00e9 sur la machine.\n\nLes fichiers .lnk permettent de cr\u00e9er des raccourcis vers des fichiers\nou des r\u00e9pertoires.\n\nMicrosoft a mis \u00e0 jour son avis pour indiquer que les fichiers .pif sont\naussi vuln\u00e9rables.\n\nL\u0027exploitation de la vuln\u00e9rabilit\u00e9 survient lors de l\u0027ouverture, via\nl\u0027explorateur Windows, d\u0027un dossier contenant les fichiers malform\u00e9s. La\nm\u00e9thode d\u0027infection typique est l\u0027ouverture d\u0027une cl\u00e9 USB infect\u00e9e,\nl\u0027exploitation fonctionnant m\u00eame si Autorun a \u00e9t\u00e9 d\u00e9sactiv\u00e9.\n\nCependant, les p\u00e9riph\u00e9riques USB ne sont qu\u0027un vecteur d\u0027exploitation,\nla vuln\u00e9rabilit\u00e9 peut \u00eatre aussi exploit\u00e9e via des partages r\u00e9seaux, des\nliens WebDav, ou tout autre vecteur menant \u00e0 l\u0027affichage des fichiers\nmalform\u00e9s dans l\u0027explorateur de fichier Windows.\n\nCette vuln\u00e9rabilit\u00e9 est activement exploit\u00e9e sur l\u0027Internet (voir\nl\u0027alerter CERTA-2010-ALE-009).\n\n## Contournement provisoire\n\nComme document\u00e9 dans l\u0027avis Microsoft \\#2286198, la d\u00e9sactivation de\nl\u0027affichage des ic\u00f4nes des raccourcis .lnk et .pif emp\u00eache\nl\u0027exploitation de la vuln\u00e9rabilit\u00e9.\n\nMicrosoft a publi\u00e9 un FixIt permettant de d\u00e9ployer le contournement plus\nfacilement (voir section Documentation).\n\nLa proc\u00e9dure manuelle est :\n\n- Faire une copie du contenu de la cl\u00e9 de registre :\n\n `HKEY_CLASSES_ROOT\\lnkfile\\shellex\\IconHandler` ;\n\n- Puis, editer la valeur \u00abPar d\u00e9faut\u00bb de cette cl\u00e9 et en supprimer le\n contenu ;\n\n- Faire une copie du contenu de la cl\u00e9 de registre :\n\n `HKEY_CLASSES_ROOT\\piffile\\shellex\\IconHandler` ;\n\n- Puis, editer la valeur \u00abPar d\u00e9faut\u00bb de cette cl\u00e9 et en supprimer le\n contenu ;\n\n- Red\u00e9marrer la machine ou explorer.exe.\n\nAttention, cette manipulation d\u00e9sactive l\u0027affichage de tous les ic\u00f4nes\ndes raccourcis , y compris ceux du menu d\u00e9marrer de Windows.\n\n## Solution\n\nSe r\u00e9f\u00e9rer au bulletin de s\u00e9curit\u00e9 Microsoft pour l\u0027obtention des\ncorrectifs (cf. section Documentation).\n",
"cves": [
{
"name": "CVE-2010-2568",
"url": "https://www.cve.org/CVERecord?id=CVE-2010-2568"
}
],
"initial_release_date": "2010-07-19T00:00:00",
"last_revision_date": "2010-08-03T00:00:00",
"links": [
{
"title": "Fixit Microsoft du 21 juillet 2010 :",
"url": "http://support.microsoft.com/kb/2286198"
},
{
"title": "Bulletin de s\u00e9curit\u00e9 Microsoft MS10-046 du 03 ao\u00fbt 2010 :",
"url": "http://www.microsoft.com/technet/security/Bulletin/MS10-046.mspx"
},
{
"title": "Bulletin de s\u00e9curit\u00e9 Microsoft MS10-046 du 03 ao\u00fbt 2010 :",
"url": "http://www.microsoft.com/france/technet/security/Bulletin/MS10-046.mspx"
},
{
"title": "Avis CERTA-2010-AVI-353 du 3 ao\u00fbt 2010 :",
"url": "http://www.certa.ssi.gouv.fr/site/CERTA-2010-AVI-353"
},
{
"title": "Alerte CERTA-2010-ALE-009 du 16 juillet 2010 :",
"url": "http://www.certa.ssi.gouv.fr/site/CERTA-2010-ALE-009"
}
],
"reference": "CERTA-2010-ALE-010",
"revisions": [
{
"description": "version initiale.",
"revision_date": "2010-07-19T00:00:00.000000"
},
{
"description": "ajout de la vuln\u00e9rabilit\u00e9 des fichiers .lnk, modification de la section Contournement , ajout du FixIt Microsoft.",
"revision_date": "2010-07-21T00:00:00.000000"
},
{
"description": "ajout de la section Solution et ajout de la r\u00e9f\u00e9rence au bulletin de s\u00e9curit\u00e9 Microsoft dans la section Documentation. .",
"revision_date": "2010-08-03T00:00:00.000000"
}
],
"risks": [
{
"description": "Ex\u00e9cution de code arbitraire \u00e0 distance"
}
],
"summary": "Une vuln\u00e9rabilit\u00e9 dans le \u003cspan class=\"textit\"\u003eshell\u003c/span\u003e Windows\npermet \u00e0 un utilisateur distant malintentionn\u00e9 d\u0027ex\u00e9cuter du code\narbitraire.\n",
"title": "Vuln\u00e9rabilit\u00e9 dans le Shell de Microsoft Windows",
"vendor_advisories": [
{
"published_at": null,
"title": "Avis de s\u00e9curit\u00e9 Microsoft #2286198 du 16 juillet 2010",
"url": "http://www.microsoft.com/technet/security/advisory/2286198.mspx"
}
]
}
Sightings
| Author | Source | Type | Date |
|---|
Nomenclature
- Seen: The vulnerability was mentioned, discussed, or seen somewhere by the user.
- Confirmed: The vulnerability is confirmed from an analyst perspective.
- Published Proof of Concept: A public proof of concept is available for this vulnerability.
- Exploited: This vulnerability was exploited and seen by the user reporting the sighting.
- Patched: This vulnerability was successfully patched by the user reporting the sighting.
- Not exploited: This vulnerability was not exploited or seen by the user reporting the sighting.
- Not confirmed: The user expresses doubt about the veracity of the vulnerability.
- Not patched: This vulnerability was not successfully patched by the user reporting the sighting.