La dernière livraison des correctifs mensuels de Microsoft corrige notamment une vulnérabilité pour Exchange. Exploitable à distance, la faille permet l'exécution de code sur le serveur en y envoyant un simple courrier piégé. Attention cependant : le correctif proposé par l'éditeur semble entrer en conflit avec le serveur de Blackberry.

au sommaire

    Logo Microsoft

    Logo Microsoft

    Il suffirait d'envoyer un courrier piégé à un serveur MicrosoftMicrosoft Exchange pour y exécuter du code. Bien qu'il ne semble pas y avoir encore d'exploitation massive de cette vulnérabilité, il est vital de la corriger, tant les serveurs de courrier sont des cibles précieuses pour les pirates. La vulnérabilité vient d'une faiblesse dans le traitement des protocoles de partage d'agenda iCal (Internet Calendar) et vCal (Virtual Calendar). Ces derniers sont considérés comme des contenus MIME par le serveur de courrier et seront interprétés comme tels. La vulnérabilité se trouve dans les composants chargés de faire l'interface entre les messages reçus et l'Exchange StoreStore (CDOEX et EXCDO) lors de ce traitement.

    Il suffit alors d'un courrier piégé pour provoquer l'exécution de code sur le serveur Exhange lui-même. Et entre l'envoi massif de spam ou l'interception silencieuse des courriers, un pirate s'emparant d'un serveur de courrier n'est pas une perspective réjouissante !

    Microsoft a livré un correctif afin de palier cette vulnérabilité, mais les utilisateurs du Blackberry Enterprise Server semblent avoir bien vite déchanté : la rustine empêcherait les terminaux mobilesmobiles d'envoyer du courrier, bien qu'ils puissent toujours en recevoir.

    En attendant le correctif du correctif, les adeptes du Blackberry sous Exchange sont invités à mettre en place une authentificationauthentification pour toute connexion au serveur de courrier (une mesure qui peut se révéler particulièrement contraignante), ou de bloquer les protocoles iCal et vCal sur le serveur.

    Selon la société ISSISS, l'exécution de code n'est pas simple, mais tout à fait possible. Elle pourrait permettre, outre la compromission du serveur, le développement d'un ver capable de se propager de serveur à serveur sans intervention humaine.