– Gravité : 4/4
– Conséquences : accès/droits utilisateur
– Provenance : document
– Moyen d’attaque : aucun démonstrateur, aucune attaque
– Compétence de l’attaquant : expert (4/4)
– Confiance : confirmé par l’éditeur (5/5)
– Diffusion de la configuration vulnérable : élevée (3/3)
– Date création : 11/06/2008
– Référence : VIGILANCE-VUL-7883

PRODUITS CONCERNÉS

– Microsoft Windows 2000 [versions confidentielles]
– Microsoft Windows 2003 [versions confidentielles]
– Microsoft Windows 2008
– Microsoft Windows Vista [versions confidentielles]
– Microsoft Windows XP [versions confidentielles]

DESCRIPTION

La technologie DirectX est utilisée pour accéder aux périphériques
audio et vidéo. La technologie DirectShow, intégrée à DirectX,
gère les flux streaming et installe la DLL quartz.dll. Deux
vulnérabilités affectent DirectShow.

La DLL quartz.dll ne vérifie pas correctement les fichiers MPEG
(AVI ou ASF), ce qui provoque un débordement de pile. [grav:4/4 ;
CVE-2008-0011]

La DLL quartz.dll ne vérifie pas correctement la propriété "Class
Name" des fichiers SAMI (Synchronized Accessible Media
Interchange), ce qui provoque un débordement de pile. [grav:4/4 ;
CVE-2008-1444, ZDI-08-040]

Un attaquant peut donc proposer un flux proposant ces fichiers
illicites, et conduisant à l’exécution de code sur la machine de
la victime.

CARACTÉRISTIQUES

– Références : 951698, CVE-2008-0011, CVE-2008-1444, MS08-033,
VIGILANCE-VUL-7883, ZDI-08-040
– Url : https://vigilance.aql.fr/arbre/1/7883