MS15-011 : une vulnérabilité dans la stratégie de groupe pourrait permettre l’exécution de code à distance datée du 10 février 2015

S’applique à

Windows Server 2012 R2 Datacenter Windows Server 2012 R2 Standard Windows Server 2012 R2 Essentials Windows Server 2012 R2 Foundation Windows 8.1 Enterprise Windows 8.1 Pro Windows 8.1 Windows RT 8.1 Windows Server 2012 Datacenter Windows Server 2012 Datacenter Windows Server 2012 Standard Windows Server 2012 Standard Windows Server 2012 Essentials Windows Server 2012 Foundation Windows Server 2012 Foundation Windows 8 Enterprise Windows 8 Pro Windows 8 Windows RT Windows Server 2008 R2 Service Pack 1 Windows Server 2008 R2 Datacenter Windows Server 2008 R2 Enterprise Windows Server 2008 R2 Standard Windows Server 2008 R2 Web Edition Windows Server 2008 R2 Foundation Windows 7 Service Pack 1 Windows 7 Ultimate Windows 7 Enterprise Windows 7 Professional Windows 7 Home Premium Windows 7 Home Basic Windows 7 Starter Windows Server 2008 Service Pack 2 Windows Server 2008 Datacenter Windows Server 2008 Enterprise Windows Server 2008 Standard Windows Server 2008 Web Edition Windows Server 2008 Foundation Windows Server 2008 for Itanium-Based Systems Windows Vista Service Pack 2 Windows Vista Ultimate Windows Vista Enterprise Windows Vista Business Windows Vista Home Premium Windows Vista Home Basic Windows Vista Starter

Résumé

Cette mise à jour de sécurité corrige une vulnérabilité signalée en privé dans Microsoft Windows. Il existe une vulnérabilité d’exécution de code à distance dans la façon dont la stratégie de groupe reçoit et applique les données de connexion lorsqu’un système joint à un domaine se connecte à un contrôleur de domaine. Un attaquant qui parviendrait à exploiter cette vulnérabilité pourrait prendre le contrôle total d’un système affecté. Un attaquant pourrait alors installer des programmes, afficher, modifier ou supprimer des données, ou encore créer des comptes dotés de tous les privilèges. Les utilisateurs dont les comptes sont configurés avec moins de droits sur le système peuvent être moins affectés que ceux qui disposent de privilèges d’administrateur.

Introduction

Microsoft a publié le Bulletin de sécurité MS15-011. Pour en savoir plus sur ce bulletin de sécurité :

Utilisateurs à domicile :

https://www.microsoft.com/security/pc-security/updates.aspx Passez les détails : téléchargez maintenant les mises à jour pour votre ordinateur personnel ou portable à partir du site web Microsoft Update :

https://update.microsoft.com/microsoftupdate/
Professionnels de l’informatique :

https://technet.microsoft.com/library/security/MS15-011

Procédure pour obtenir de l’aide et un support pour cette mise à jour de sécurité

Aide à l'installation des mises à jour :
Support pour Microsoft Update

Solutions de sécurité pour professionnels de l’informatique :
Résolution des problèmes de sécurité et support TechNet

Protection de votre ordinateur Windows contre les virus et les logiciels malveillants :
Aide et Support pour les problèmes de virus et de sécurité

Support local selon votre pays :
International Support

Informations supplémentaires

Remarque : cette mise à jour de sécurité inclut certains fichiers qui se trouvent dans la mise à jour de sécurité 3031432. Pour plus d’informations, consultez l’article 3031432 de la Base de connaissances. Cela inclut des problèmes connus.

Comportement de package enfant

Les clients qui installent cette mise à jour de sécurité peuvent être confrontés à un problème connu dans lequel l’erreur 1108 est générée dans le journal des événements de sécurité au lieu de l’événement d’audit 4688 habituel. Pour résoudre ce problème, la mise à jour 3004375 doit être installée avec cette mise à jour (mise à jour 3000483).

Remarque Ce problème a été détecté pour la première fois dans la mise à jour de sécurité 3023266 (MS15-001).

Pour les clients Windows Server 2008 R2 et Windows Server 2012

Sur Windows Server 2008 R2 et Windows Server 2012, la mise à jour 3004375 est installée avec la mise à jour 3000483.

Pour les clients Windows Update, Windows Server Update Services (WSUS) et Microsoft Catalog

Les 3004375 de mise à jour s’installent automatiquement et de manière transparente avec les 3000483 de mise à jour de sécurité. Les 3004375 de mise à jour s’affichent séparément dans la liste des mises à jour installées lorsqu’elles sont affichées dans l’élément Ajout/Suppression de programmes de Panneau de configuration. L’installation simultanée des deux packages ne nécessite qu’un seul redémarrage.

Pour les clients du Centre de téléchargement

Pour résoudre le problème connu, si vous téléchargez puis installez cette mise à jour de sécurité à partir du Centre de téléchargement Microsoft pour Windows Server 2008 R2 ou Windows Server 2012, vous devez sélectionner à la fois 3000483 de mise à jour et mettre à jour 3004375. Vous devez installer ces deux mises à jour pour résoudre le problème connu.

Paramètres de stratégie de groupe

Cette mise à jour de sécurité nécessite l’exécution des étapes suivantes afin de se protéger contre la vulnérabilité décrite dans le bulletin (MS15-011). Pour activer cette fonctionnalité, un administrateur système doit appliquer les paramètres de stratégie de groupe suivants en plus de l’installation de la mise à jour de sécurité 3000483.

Le service de stratégie de groupe sur les ordinateurs Windows joints à un domaine tente automatiquement de télécharger les stratégies de sécurité mises à jour à partir des chemins UNC (Universal Naming Convention) qui commencent par \\<Domain>\SYSVOL. Il exécute tous les scripts configurés pour s’exécuter dans les objets de stratégie de groupe (GPO) applicables. En règle générale, ils sont stockés dans des chemins UNC qui se trouvent avec \\<Domain>\NETLOGON.

Lorsque des applications effectuent des demandes d’E/S contenant des chemins UNC (Uniform Naming Convention), ces demandes sont transmises au fournisseur UNC multiple (MUP). Le MUP sélectionne un fournisseur UNC pour gérer la demande d’E/S et transfère la demande au fournisseur UNC sélectionné. Le fournisseur UNC sélectionné traite la demande et transmet les résultats à l’application qui l’a émise.

Si une partie malveillante peut usurper, falsifier ou rediriger les communications entre le fournisseur UNC et le serveur cible, elle peut être en mesure de faire en sorte que la stratégie de groupe exécute des programmes ou des scripts avec une intention malveillante au lieu ou en plus des scripts sélectionnés par les administrateurs système.

Microsoft annonce la disponibilité de l’accès renforcé UNC, une nouvelle fonctionnalité sur la plateforme Windows. Pour fournir des atténuations contre cette attaque et d’autres attaques connexes, cette fonctionnalité améliore la protection et la gestion des données lorsque les ordinateurs Windows accèdent aux chemins UNC.

Lorsque MUP reçoit une demande d’E/S pour un chemin UNC configuré pour nécessiter un accès renforcé UNC, MUP prend en compte uniquement les fournisseurs UNC qui prennent en charge les propriétés de sécurité requises selon la configuration d’accès renforcé UNC.

Cet article de la Base de connaissances Microsoft présente aux administrateurs système cette nouvelle fonctionnalité et les modalités de son déploiement pour protéger les systèmes Windows.

Configuration de l’accès renforcé UNC via la stratégie de groupe

La fonctionnalité d’accès renforcé UNC permet d'« étiqueter » des serveurs ou des partages spécifiques avec des informations supplémentaires pour informer les fournisseurs MUP et UNC des exigences de sécurité au-delà des valeurs par défaut du fournisseur UNC. En particulier, les trois propriétés de sécurité suivantes sont prises en charge :

RequireMutualAuthentication=<0|1> – Lorsque cette propriété est définie sur 1, le fournisseur UNC sélectionné exige que le fournisseur UNC puisse authentifier l’identité du serveur distant (en plus de la vérification de l’identité du client par le serveur) afin de bloquer les attaques par usurpation d’identité.
RequireIntegrity=<0|1> – Lorsque cette propriété est définie sur 1, MUP et le fournisseur UNC sélectionné doivent utiliser des vérifications d’intégrité afin de détecter lorsque des tiers manipulent des demandes ou des réponses en transit entre le client et le serveur afin de bloquer les attaques de falsification.
RequirePrivacy=<0|1> – Lorsque cette propriété est définie sur 1, MUP et le fournisseur UNC sélectionné doivent utiliser une forme de chiffrement de telle sorte que lorsque des tiers voient une communication entre le client et le serveur, ils ne peuvent pas voir les informations sensibles contenues dans la communication.

Pour activer l’accès renforcé UNC par le biais de la stratégie de groupe, procédez comme suit :

Ouvrez la console de gestion de la stratégie de groupe.
Dans l’arborescence de la console, dans la forêt et le domaine contenant l’objet de stratégie de groupe (GPO) que vous souhaitez créer ou modifier, double-cliquez sur Objets de stratégie de groupe.

Nom de la forêt/Domaines/<Nom de domaine>
(Facultatif) Cliquez avec le bouton droit sur Objets de stratégie de groupe, puis cliquez sur Nouveau.
Tapez le nom souhaité pour le nouvel objet de stratégie de groupe.
Cliquez avec le bouton droit sur l’objet GPO souhaité, puis cliquez sur Modifier.
Dans la console Éditeur d’objets de stratégie de groupe, accédez au chemin d’accès de stratégie suivant :

Configuration ordinateur/Modèles d’administration/Réseau/Fournisseur réseau
Cliquez avec le bouton droit sur le paramètre Chemins UNC renforcés , puis cliquez sur Modifier.
Sélectionnez le bouton d’option Activé .
Dans le volet Options , faites défiler vers le bas, puis cliquez sur Afficher.
Ajoutez une ou plusieurs entrées de configuration. Pour ce faire, procédez comme suit :
1. Dans la colonne Nom de la valeur , tapez le chemin UNC que vous souhaitez configurer. Le chemin d’accès UNC peut être spécifié sous l’une des formes suivantes :
  - \\<Server>\<Share> - L’entrée de configuration s’applique au partage qui a le nom spécifié sur le serveur spécifié.
  - \\*\<Share> - L’entrée de configuration s’applique au partage qui a le nom spécifié sur n’importe quel serveur.
  - \\<Server>\* - L’entrée de configuration s’applique à tout partage sur le serveur spécifié.
  - \\<Server> : identique à \\<Server>\*
  Remarque Un nom de serveur ou de partage spécifique doit être spécifié. Les chemins génériques tels que \\* et \\*\* ne sont pas pris en charge.
2. Dans la colonne Valeur, tapez le nom de la propriété de sécurité à configurer (par exemple, tapez RequireMutualAuthentication, RequireIntegrity ou RequirePrivacy) suivi d’un signe égal (=) et du chiffre 0 ou 1.
  
  Remarque Plusieurs propriétés peuvent être attribuées pour un seul chemin d’accès UNC en séparant chaque paire « <Propriété> = <Valeur> » à l’aide d’une virgule (,).
Cliquez sur OK à deux reprises, puis fermez l’Éditeur d’objets de stratégie de groupe.
Si vous avez créé un objet de stratégie de groupe précédemment, liez-le à un ou plusieurs domaines. Pour ce faire, cliquez avec le bouton droit sur le domaine souhaité, cliquez sur Lier un GPO existant, sélectionnez le GPO nouvellement ajouté, puis cliquez sur OK.
Pour tester l’objet GPO nouveau ou mis à jour, connectez-vous à un ordinateur auquel il s’applique, puis exécutez la commande suivante :

gpupdate /force
Toutes les erreurs de configuration sont signalées dans le chemin suivant dans l’observateur d’événements :

Observateur d’événements\Journaux des applications et des services\Microsoft\Windows\NetworkProvider\Operational

Exemples de configuration avancée

Lorsque plusieurs entrées de configuration s’appliquent à une demande d’E/S à un chemin UNC (par exemple, en raison de l’utilisation d’entrées génériques), les propriétés du chemin UNC le plus spécifique sont prioritaires.

Par exemple, prenons un système qui a la configuration d’accès renforcé UNC suivante, telle qu’appliquée via la stratégie de groupe :

Nom de la valeur	Valeur
\\fileshare.contoso.com\*	RequireMutualAuthentication=1, RequireIntegrity=1
\\fileshare.contoso.com\public	RequireIntegrity=0
\\fileshare.contoso.com\secret	RequirePrivacy=1

Dans ce scénario, toutes les propriétés spécifiées pour \\fileshare.contoso.com\* s’appliquent également au partage « secret ». Toutefois, la propriété RequireIntegrity sur le partage « public » remplacerait la configuration RequireIntegrity pour \\fileshare.contoso.com\*. Par conséquent, la configuration effective du renforcement UNC pour les partages sur les fileshare.contoso.com nommés public, privé et secret serait la suivante :

Chemin d’accès UNC	Configuration de renforcement UNC effective
\\fileshare.contoso.com\public	RequireMutualAuthentication=1, RequireIntegrity=0
\\fileshare.contoso.com\private	RequireMutualAuthentication=1, RequireIntegrity=1
\\fileshare.contoso.com\secret	RequireMutualAuthentication=1, RequireIntegrity=1, RequirePrivacy=1

Implémentation de Server Message Block (SMB)

Authentification mutuelle

SMB n’effectue pas lui-même l’authentification mutuelle. Au lieu de cela, il délègue la tâche au fournisseur de support de sécurité négocié qui est pris en charge par Windows et le serveur distant. Si le fournisseur de support de sécurité indique que l’authentification mutuelle entre le client et le serveur n’a pas réussi, le client SMB interdit l’accès aux chemins d’accès sur le serveur qui sont configurés pour exiger une authentification mutuelle.

Remarque : l’authentification mutuelle dans une installation par défaut de Windows est disponible uniquement lorsque les informations d’identification de domaine Active Directory sont utilisées via l’authentification Kerberos. L’authentification NTLM ne prend pas en charge l’authentification mutuelle. À partir de Windows 7 et Windows Server 2008 R2, les clients peuvent installer des SSP tiers qui s’intègrent à NegoEx au lieu d’utiliser l’authentification NTLM ou Kerberos.

Intégrité

SMB s’assure de l’intégrité lorsque cela est nécessaire en activant la signature SMB pour les demandes d’E/S sur les chemins configurés à l’aide de RequireIntegrity=1. La définition de RequireIntegrity=0 sur un chemin d’accès ne désactive pas la signature SMB lorsque le paramètre de configuration RequireSecuritySignatures du client SMB ou du serveur SMB est activé.

Remarque Les connexions SMB v1 ne prennent pas en charge l’activation de la signature SMB sur demande. Si le client SMB dispose déjà d’une connexion ouverte à un serveur SMB v1 contenant des fichiers ouverts ne nécessitant pas la signature SMB, le client ne pourra pas accéder aux partages sur ce serveur pour lesquels RequireIntegrity est défini sur 1 tant que tous les autres handles de fichiers sur le même serveur ne seront pas fermés. Par conséquent, nous recommandons que le serveur SMB soit configuré pour tous les serveurs qui ne prennent pas en charge SMB v2 ou une version ultérieure (par exemple, Windows Server 2003 R2 et versions antérieures) configuré de manière à toujours exiger des signatures de sécurité, si le serveur mentionné précédemment est censé héberger des partages pour lesquels les clients auront configuré RequireIntegrity=1. Pour plus d’informations sur la configuration de la signature SMB sur le serveur SMB, consultez l’article suivant de la Base de connaissances Microsoft :

Vue d’ensemble de la signature de bloc de messages serveur

Confidentialité

SMB garantit la confidentialité lorsque cela est nécessaire en activant le chiffrement SMB pour les demandes d’E/S vers des chemins configurés à l’aide de RequirePrivacy=1. La définition de RequirePrivacy=0 sur un chemin d’accès ne désactive pas le chiffrement SMB pendant l’accès au partage lorsque le serveur SMB est configuré pour exiger le chiffrement SMB pour ce partage.

Remarque Le chiffrement SMB n’est pris en charge par le client SMB que sur Windows 8, Windows Server 2012 et versions ultérieures, et uniquement lors de la communication avec des serveurs compatibles avec le chiffrement SMB (tels que Windows 8, Windows Server 2012 et versions ultérieures). Si vous configurez RequirePrivacy=1 sur les clients qui ne prennent pas en charge le chiffrement SMB ou pour les chemins UNC hébergés sur des serveurs qui ne prennent pas en charge le chiffrement SMB, vous aurez une configuration dans laquelle le client SMB ne pourra pas accéder au chemin d’accès spécifié.

Configuration minimale recommandée pour les ordinateurs joints à un domaine

Nous recommandons que tous les partages NETLOGON et SYSVOL soient configurés pour exiger à la fois l’authentification mutuelle et l’intégrité afin de sécuriser la stratégie de groupe contre les attaques par usurpation d’identité et de falsification qui peuvent être utilisées pour exécuter du code à distance.

Chemins UNC renforcés

Nom de la valeur	Valeur
\\*\NETLOGON	RequireMutualAuthentication=1, RequireIntegrity=1
\\*\SYSVOL	RequireMutualAuthentication=1, RequireIntegrity=1

Applicabilité des ordinateurs joints à un domaine

Cette mise à jour de sécurité est proposée via Windows Update uniquement aux ordinateurs joints à un domaine. Les clients DLC et WSUS doivent appliquer cette mise à jour de sécurité uniquement aux ordinateurs joints à un domaine.

Windows Server 2003 SP2

Nous avons déterminé que la mise en œuvre de ces modifications dans Windows Server 2003 SP2 nécessiterait des modifications d’architecture si complètes qu’elles déstabiliseraient le système et entraîneraient des problèmes de compatibilité entre les applications. Nous continuons de recommander aux clients soucieux de la sécurité d’effectuer une mise à niveau vers nos derniers systèmes d’exploitation afin de suivre le rythme des menaces de sécurité et de bénéficier d’une protection robuste et moderne du système d’exploitation.

Informations sur le déploiement de la mise à jour de sécurité

Windows Vista (toutes les éditions)Table de référence