L'équipe Vigil@nce veille les vulnérabilités publiques qui affectent votre parc informatique, puis propose des correctifs sécurité, une base de données de vigilance et des outils pour y remédier.

Vulnérabilité de Windows : exécution de code via MSCOMCTL.OCX

Synthèse de la vulnérabilité 

Un attaquant peut inviter la victime à consulter une page web chargeant l'ActiveX MSCOMCTL.OCX, afin de faire exécuter du code sur sa machine.
Produits impactés : BizTalk Server, Office, Access, Office Communicator, Excel, InfoPath, OneNote, Outlook, PowerPoint, Project, Publisher, Visio, Word, SQL Server, Visual Studio, Windows 2003, Windows 2008 R0, Windows 2008 R2, Windows 7, Windows Vista, Windows XP.
Gravité de ce bulletin : 4/4.
Date de création : 11/04/2012.
Références de cette menace : 2664258, BID-52911, CERTA-2012-AVI-206, CVE-2012-0158, MS12-027, VIGILANCE-VUL-11529.

Description de la vulnérabilité 

Le fichier MSCOMCTL.OCX est installé par plusieurs produits Microsoft :
 - Microsoft Office
 - Microsoft SQL Server
 - Microsoft BizTalk Server
 - Microsoft Commerce Server
 - Microsoft Visual FoxPro
 - Visual Basic

Ce fichier contient les contrôles ActiveX Windows Common Controls (MSCOMCTL.TreeView, MSCOMCTL.ListView2, MSCOMCTL.TreeView2 et MSCOMCTL.ListView).

Un buffer overflow de ces ActiveX conduit à l'exécution de code.

Un attaquant peut donc inviter la victime à consulter une page web chargeant l'ActiveX MSCOMCTL.OCX, afin de faire exécuter du code sur sa machine.
Bulletin complet, filtrage par logiciel, emails, correctifs, ... (Demandez votre essai gratuit)

Cet avis de menace concerne les logiciels ou systèmes comme BizTalk Server, Office, Access, Office Communicator, Excel, InfoPath, OneNote, Outlook, PowerPoint, Project, Publisher, Visio, Word, SQL Server, Visual Studio, Windows 2003, Windows 2008 R0, Windows 2008 R2, Windows 7, Windows Vista, Windows XP.

Notre équipe Vigil@nce a déterminé que la gravité de cette alerte de vulnérabilité est critique.

Le niveau de confiance est de type confirmé par l'éditeur, avec une provenance de document.

Un démonstrateur ou un outil d'attaque est disponible, donc vos équipes doivent traiter cette alerte. Un attaquant avec un niveau de compétence technicien peut exploiter cet avis de menace informatique.

Solutions pour cette menace 

Windows : patch pour MSCOMCTL.OCX.
L'annonce Microsoft indique les patches et les contre-mesures pour :
 - Microsoft Office
 - Microsoft SQL Server
 - Microsoft BizTalk Server
 - Microsoft Commerce Server
 - Microsoft Visual FoxPro
 - Visual Basic
Bulletin complet, filtrage par logiciel, emails, correctifs, ... (Demandez votre essai gratuit)

Service de veille sur les vulnérabilités informatiques 

Vigil@nce fournit des bulletins de vulnérabilité de réseau. La cellule de veille technologique suit les menaces sécurité qui ciblent le parc informatique.