INTRODUCTION
Microsoft a publié le Bulletin de sécurité MS12-006. Pour consulter la totalité du Bulletin de sécurité, reportez-vous au site web de Microsoft à l’une des adresses suivantes :
Utilisateurs à domicile :
http://www.microsoft.com/security/pc-security/bulletins/201201.aspx Passez les détails : téléchargez maintenant les mises à jour pour votre ordinateur personnel ou portable à partir du site web Microsoft Update :
Professionnels de l’informatique :
Procédure pour obtenir de l’aide et un support pour cette mise à jour de sécurité
Aide à l'installation des mises à jour :
Support pour Microsoft Update
Solutions de sécurité pour professionnels de l’informatique :
Résolution des problèmes de sécurité et support TechNet
Protégez votre ordinateur Windows des virus et des logiciels malveillants :
Aide et Support pour les problèmes de virus et de sécurité
Support local selon votre pays/région :
International Support
Résolution automatique
Deux solutions Fix it sont disponibles.
- Solution de réparation pour TLS (Transport Layer Security) 1.1 dans Internet Explorer : cette solution active TLS 1.1, qui n’est pas affecté par cette vulnérabilité, dans Windows Internet Explorer. La plupart des utilisateurs devraient installer cette solution de réparation.
- Solution de réparation pour TLS 1.1 sur les serveurs Windows : cette solution active TLS 1.1, qui n’est pas affecté par la vulnérabilité.
Les solutions Fix it décrites dans cette section ne sont pas destinées à remplacer une mise à jour de sécurité. Nous vous recommandons de toujours installer les dernières mises à jour de sécurité. Toutefois, nous proposons ces solutions de réparation en tant qu’options de contournement pour certains scénarios.
Pour plus d’informations sur les solutions de contournement, consultez le bulletin de sécurité MS12-006 :
http://technet.microsoft.com/security/bulletin/ms12-006 Le bulletin fournit plus d’informations sur le problème et inclut les éléments suivants :
- Scénarios dans lesquels vous pouvez appliquer ou désactiver la solution de contournement
- Facteurs atténuants
- Solutions de contournement
- Forum aux questions
Plus précisément, pour afficher ces informations, recherchez la section Informations sur la vulnérabilité, puis développez le paragraphe Solutions de contournement sous le paragraphe Vulnérabilité dans les protocoles SSL et TLS - CVE-2011-3389.
Solution de correction pour TLS 1.1 sur Internet Explorer
Pour activer ou désactiver cette solution de correction, cliquez sur le bouton ou le lien Réparer sous l’en-têteActiver ou désactiver . Cliquez sur Exécuter dans la boîte de dialogue Téléchargement de fichier , puis suivez la procédure indiquée par l’Assistant Réparer.
| propriété | Disable |
|---|
Notes
- Il se peut que ces assistants ne soient disponibles qu’en anglais. Toutefois, les correctifs automatiques fonctionnent également pour d’autres versions linguistiques de Windows.
- Si vous n’utilisez pas l’ordinateur concerné, vous pouvez enregistrer la résolution automatique sur un lecteur flash ou sur un CD-ROM et l’exécuter ensuite sur l’ordinateur concerné par le problème.
Solution de réparation pour TLS 1.1 sur les serveurs Windows
Pour activer ou désactiver cette solution de correction, cliquez sur le bouton ou le lien Réparer sous l’en-têteActiver ou désactiver . Cliquez sur Exécuter dans la boîte de dialogue Téléchargement de fichier , puis suivez la procédure indiquée par l’Assistant Réparer.
| propriété | Disable |
|---|
Notes
- Il se peut que ces assistants ne soient disponibles qu’en anglais. Toutefois, les correctifs automatiques fonctionnent également pour d’autres versions linguistiques de Windows.
- Si vous n’utilisez pas l’ordinateur concerné, vous pouvez enregistrer la résolution automatique sur un lecteur flash ou sur un CD-ROM et l’exécuter ensuite sur l’ordinateur concerné par le problème.
Problèmes connus concernant cette mise à jour de sécurité
Après avoir installé cette mise à jour de sécurité, vous pouvez rencontrer des problèmes d’authentification ou une perte de connectivité à certains serveurs HTTPS. Ce problème survient parce que cette mise à jour de sécurité modifie la façon dont les enregistrements sont envoyés aux serveurs HTTPS.
Pour désactiver temporairement ou réactiver cette mise à jour de sécurité, cliquez sur le bouton ou le lien Corriger sous l’en-têteDésactiver la mise à jour de sécurité ou réactiver la mise à jour de sécurité . Cliquez sur Exécuter dans la boîte de dialogue Téléchargement de fichier , puis suivez la procédure indiquée par l’Assistant Réparer.
| Désactiver la mise à jour de sécurité | Réactiver la mise à jour de sécurité |
|---|
Notes
- Il se peut que ces assistants ne soient disponibles qu’en anglais. Toutefois, les correctifs automatiques fonctionnent également pour d’autres versions linguistiques de Windows.
- Si vous n’utilisez pas l’ordinateur concerné, vous pouvez enregistrer la résolution automatique sur un lecteur flash ou sur un CD-ROM et l’exécuter ensuite sur l’ordinateur concerné par le problème.
Le tableau suivant présente les valeurs appliquées par ces solutions Fix it à l’entrée DWORD du Registre SendExtraRecord :
| Titre | Valeur appliquée à l’entrée SendExtraRecord |
|---|---|
| Désactiver la mise à jour de sécurité | 2 |
| Réactiver la mise à jour de sécurité | 0 |
Remarque Le paramètre SendExtraRecord sera inclus dans les futures versions de Windows.
Problèmes connus et informations supplémentaires relatives à cette mise à jour de sécurité
Les articles suivants contiennent des informations supplémentaires sur cette mise à jour de sécurité, car elle concerne des versions de produit individuelles. Les articles peuvent contenir des informations sur les problèmes connus. Si c’est le cas, le problème connu est répertorié sous chaque lien d’article :
- 2585542 MS12-006 : Description de la mise à jour de sécurité pour Webio, Winhttp et schannel dans Windows datée du 10 janvier 2012
- 2638806 MS12-006 : Description de la mise à jour de sécurité pour Winhttp dans Windows Server 2003 et Windows XP Professionnel édition x64 datée du 10 janvier 2012
Informations sur le Registre
Non recommandé Nous vous déconseillons d’utiliser la procédure suivante pour désactiver cette mise à jour de sécurité. Toutefois, nous proposons cette procédure pour les scénarios dans lesquels vous utilisez des applications incompatibles avec cette mise à jour de sécurité, qui permet de fractionner les enregistrements SSL pour toutes les applications.
Important : cette section, méthode ou tâche contient des étapes vous indiquant comment modifier le Registre. Faites attention, car des problèmes sérieux peuvent survenir si vous le modifiez de façon incorrecte. Nous ne saurions trop vous conseiller de suivre ces étapes scrupuleusement. Dans tous les cas, n’oubliez pas de sauvegarder le Registre avant de le modifier. Vous serez alors en mesure de le restaurer en cas de problème. Pour plus d'informations sur la procédure de sauvegarde et de restauration du Registre, cliquez sur le numéro ci-dessous pour afficher l'article correspondant dans la Base de connaissances Microsoft :
322756 Comment sauvegarder et restaurer le Registre dans Windows
Par défaut, cette mise à jour de sécurité définit le mode opt-in au niveau schannel, en raison de problèmes de compatibilité d’application. Pour désactiver cette mise à jour de sécurité pour toutes les applications à l’échelle du système, vous devez ajouter une valeur DWORD nommée SendExtraRecord et ayant la valeur 2 à la sous-clé de Registre suivante :
HKEY_LOCAL_MACHINE\System\CurrentControlSet\Control\SecurityProviders\SCHANNELPour ajouter cette entrée de Registre schannel, procédez comme suit :
Cliquez surDémarrer, puis Exécuter, entrez regedit dans la zone Ouvrir et cliquez sur OK.
Recherchez la sous-clé de Registre suivante, puis cliquez dessus :
HKEY_LOCAL_MACHINE\System\CurrentControlSet\Control\SecurityProviders\SCHANNEL
Dans le menu Edition, pointez sur Nouveau, puis cliquez sur Valeur DWORD.
Tapez SendExtraRecord pour le nom de la valeur DWORD, puis appuyez sur Entrée.
Cliquez avec le bouton droit sur SendExtraRecord, puis cliquez sur Modifier.
Dans la zone Données de la valeur , tapez 2 pour désactiver l’enregistrement fractionné dans schannel, puis cliquez sur OK.
Quittez l’Éditeur du Registre.
Cette entrée de Registre peut avoir trois valeurs, et chaque valeur fournit différents modes de fonctionnement :
| Valeur de clé de Registre | Description |
|---|---|
| 0 | Par défaut, schannel est inclus dans le « mode optin ». Cela signifie que cette mise à jour de sécurité fonctionnera pour tous les appelants qui envoient l’indicateur sécurisé à schannel. L’entrée de registre schannel « SendExtraRecord » ne sera pas créée par le package de sécurité. Par conséquent, l’absence d’entrée de Registre schannel signifie que le système exécute ce mode. Si quelqu’un crée cette clé de Registre et définit la valeur sur 0, schannel s’exécutera à nouveau dans ce mode. Ce paramètre a le même effet que de ne pas créer cette entrée de Registre du tout. Les applications qui envoient un indicateur sécurisé à schannel pendant l’initialisation de session n’exerceront que le chemin de code sécurisé fixe. Pour les autres applications, il n’y aura aucun changement de comportement de schannel. Cette mise à jour de sécurité corrige également les couches d’application impliquées dans la navigation web à l’aide d’Internet Explorer pour envoyer l’indicateur sécurisé, afin de sécuriser les scénarios d’utilisation du navigateur. Remarque Dans Windows Server 2003, une mise à jour de sécurité 2638806 doit être installée pour sécuriser les applications clientes HTTP qui utilisent les API WinHTTP. Pour plus d’informations, cliquez sur le numéro ci-dessous pour afficher l’article correspondant dans la Base de connaissances Microsoft : 2638806 MS12-006 : Description de la mise à jour de sécurité pour Winhttp dans Windows Server 2003 et Windows XP Professionnel édition x64 datée du 10 janvier 2012 |
| 1 | Définir la valeur sur 1 signifie « activé pour tous ». Cela signifie que les appelants n’ont pas besoin d’envoyer l’indicateur et que le schannel divisera tous les enregistrements SSL. Avec cette valeur définie, les applications n’ont pas besoin d’effectuer de modifications. Un client très préoccupé par la sécurité du système peut contribuer à renforcer la sécurité de son système en activant cette clé de Registre. |
| 2 | Définir la valeur sur 2 signifie « désactivé pour tous ». Cela signifie que le schannel ne divisera pas les enregistrements pour les appels de chiffrement effectués par l’application. Ce mode n’honore pas l’indicateur sécurisé envoyé par une application. |
Sur la base de tests internes, nous avons constaté qu’il est impossible de définir la valeur du Registre sur 1, car cela peut interrompre un trop grand nombre de scénarios dans une entreprise. Par conséquent, nous déconseillons aux utilisateurs de l’utiliser.
Problèmes connus liés à l’activation de l’entrée de Registre SendExtraRecord
- La définition de la valeur de Registre SendExtraRecord sur 1 applique le fractionnement des enregistrements dans chaque appel pour chiffrer les données dans schannel. Ce comportement se produit, que l’appelant ait ou non envoyé l’indicateur sécurisé lors de l’initialisation de la session.
- De nombreuses applications qui utilisent schannel sont écrites de sorte que le côté récepteur suppose que les données de l’application seront empaquetées dans un seul paquet. Ce problème se produit même si l’application appelle schannel pour le déchiffrement. Les applications ignorent un indicateur défini par schannel. L’indicateur indique à l’application qu’il y a plus de données à déchiffrer et à récupérer par le destinataire. Cette méthode ne suit pas la méthode MSDN d’utilisation de schannel. Étant donné que la mise à jour de sécurité applique le fractionnement des enregistrements, ces applications sont interrompues.
- Les applications défaillantes incluent les produits Microsoft et les composants intégrés. Voici des exemples de scénarios qui peuvent être rompus lorsque la valeur de Registre SendExtraRecord est définie sur 1 :
-
- Tous les produits et applications SQL basés sur SQL.
- les serveurs Terminal Server dont l’authentification au niveau du réseau (NLA) est activée. Par défaut, NLA est activé dans Windows Vista et les versions ultérieures de Windows.
- Certains scénarios de service d’accès à distance (RRAS) de routage.
La définition de la valeur de Registre SendExtraRecord sur 1 applique le fractionnement sécurisé des enregistrements pour toutes les applications qui utilisent Windows TLS/SSL. Toutefois, ce paramètre est susceptible de rencontrer des problèmes de compatibilité des applications. Par conséquent, nous recommandons aux clients de configurer TLS 1.1 et TLS 1.2 au lieu d’utiliser ce paramètre de Registre. TLS 1.1 et TLS 1.2 ne sont pas vulnérables à ce problème.
Si un utilisateur a l’intention d’utiliser ce paramètre de Registre, nous lui recommandons de tester de manière approfondie les tests de compatibilité des applications avant de l’implémenter. Parmi les produits courants connus pour être affectés par ce paramètre, citons les produits Microsoft SQL, Terminal Windows Server et Windows Remote Access Server.
FAQ
Q : Que peut faire Microsoft pour m’aider à corriger mon application côté serveur ?
R : Assurez-vous que votre application peut gérer la fragmentation des enregistrements d’application SSL/TLS, comme décrit dans les RFC suivantes :