Gravité : 2/4

Conséquences : accès/droits privilégié

Provenance : client intranet

Moyen d’attaque : aucun démonstrateur, aucune attaque

Compétence de l’attaquant : expert (4/4)

Confiance : confirmé par l’éditeur (5/5)

Diffusion de la configuration vulnérable : faible (1/3)

Date création : 10/06/2009

PRODUITS CONCERNÉS

– Microsoft Windows 2000
– Microsoft Windows 2003
– Microsoft Windows 2008
– Microsoft Windows Vista
– Microsoft Windows XP

DESCRIPTION DE LA VULNÉRABILITÉ

La RPC Marshalling Engine (NDR) fournit une interface standard
utilisée par les clients et les serveurs RPC. Les fichiers IDL
définissent chaque interface.

Lorsqu’un fichier IDL contient :
– FC_SMVARRAY ou FC_LGVARRAY (tableau de taille variable)
– suivi de FC_VARIABLE_REPEAT et FC_VARIABLE_OFFSET (liste de pointeurs) alors, la RPC Marshalling Engine ne met pas correctement à jour un état interne. Un pointeur est ensuite lu à partir d’une adresse
mémoire invalide, ce qui peut conduire à l’exécution de code.

Les applications développées par Microsoft n’utilisent pas d’IDL
ayant cette structure. Aucune application Microsoft n’est donc
impactée par cette vulnérabilité. Cependant, les applications
tierces utilisant ce type d’IDL sont vulnérables (aucun nom de
logiciel n’a été indiqué).

Un attaquant peut donc employer une vulnérabilité affectant
certaines applications utilisant la RPC Marshalling Engine afin
d’exécuter du code sur le serveur.

CARACTÉRISTIQUES

Références : 970238, BID-35219, CVE-2009-0568, MS09-026,
VIGILANCE-VUL-8782

http://vigilance.fr/vulnerabilite/Windows-execution-de-code-via-RPC-8782