CERTA-2007-ALE-007
Vulnerability from certfr_alerte - Published: 2007-03-09 - Updated: 2008-10-09
Une vulnérabilité a été découverte dans une bibliothèque de Microsoft Windows.
Description
Microsoft Windows Explorer utilise une bibliothèque permettant d'analyser les informations contenues dans des documents Microsoft Office.
La bibliothèque OLE32.dll serait sensible à une attaque de type corruption de mémoire par le biais d'un document Microsoft Office spécialement conçu.
L'exploitation de cette vulnérabilité permet au minimum de réaliser un déni de service.
Du code d'exploitation circule sur Internet.
Contournement provisoire
5.1 Utiliser un format de document alternatif
Le CERTA recommande l'utilisation d'un format de document alternatif tel que le RTF.
5.2 Utiliser un logiciel alternatif
Le CERTA recommande d'utiliser un outil de visualisation des documents au format Word alternatif à jour (WordPad ou AbiWord).
5.3 Mettre à jour la base de signatures d'antivirus
Certains éditeurs d'antivirus proposent déjà des mises à jours de signatures prenant en compte les codes malveillants sous sa forme actuelle. Il est cependant probable que des variantes apparaissent afin de contourner ces antivirus.
5.4 Filtrer les pièces jointes au niveau des passerelles
Dans la mesure du possible, il est recommandé de filtrer les fichiers au format Word (extension .doc) au niveau des passerelles (messagerie, web ...).
5.5 N'ouvrir que les documents provenant de sources de confiance
A la reception d'un document au format doc soit par le biais de la messagerie électronique ou sur tout autre support, il est nécessaire de s'assurer de la provenance de ce fichier et de ne l'ouvrir que si la source est de confiance et après analyse par un antivirus à jour.
5.6 Limiter l'impact en utilisant un compte utilisateur sans privilège
L'utilisation de compte n'ayant pas de droits d'administration permet de limiter l'infection au contexte de l'utilisateur.
Solution
L'éditeur affirme que cette vulnérabilité ne permet pas d'exécuter du code arbitraire. Cette vulnérabilité ne justifiant plus le même niveau de vigilance le CERTA a décidé de réévaluer cette alerte.
None| Title | Publication Time | Tags | ||||||
|---|---|---|---|---|---|---|---|---|
|
||||||||
{
"$ref": "https://www.cert.ssi.gouv.fr/openapi.json",
"affected_systems": [
{
"description": "Microsoft Windows XP ;",
"product": {
"name": "Windows",
"vendor": {
"name": "Microsoft",
"scada": false
}
}
},
{
"description": "Microsoft Windows 2000.",
"product": {
"name": "Windows",
"vendor": {
"name": "Microsoft",
"scada": false
}
}
}
],
"affected_systems_content": null,
"closed_at": "2008-10-09",
"content": "## Description\n\nMicrosoft Windows Explorer utilise une biblioth\u00e8que permettant\nd\u0027analyser les informations contenues dans des documents Microsoft\nOffice.\n\nLa biblioth\u00e8que OLE32.dll serait sensible \u00e0 une attaque de type\ncorruption de m\u00e9moire par le biais d\u0027un document Microsoft Office\nsp\u00e9cialement con\u00e7u.\n\nL\u0027exploitation de cette vuln\u00e9rabilit\u00e9 permet au minimum de r\u00e9aliser un\nd\u00e9ni de service.\n\nDu code d\u0027exploitation circule sur Internet.\n\n## Contournement provisoire\n\n## 5.1 Utiliser un format de document alternatif\n\nLe CERTA recommande l\u0027utilisation d\u0027un format de document alternatif tel\nque le RTF.\n\n## 5.2 Utiliser un logiciel alternatif\n\nLe CERTA recommande d\u0027utiliser un outil de visualisation des documents\nau format Word alternatif \u00e0 jour (WordPad ou AbiWord).\n\n## 5.3 Mettre \u00e0 jour la base de signatures d\u0027antivirus\n\nCertains \u00e9diteurs d\u0027antivirus proposent d\u00e9j\u00e0 des mises \u00e0 jours de\nsignatures prenant en compte les codes malveillants sous sa forme\nactuelle. Il est cependant probable que des variantes apparaissent afin\nde contourner ces antivirus.\n\n## 5.4 Filtrer les pi\u00e8ces jointes au niveau des passerelles\n\nDans la mesure du possible, il est recommand\u00e9 de filtrer les fichiers au\nformat Word (extension .doc) au niveau des passerelles (messagerie, web\n...).\n\n## 5.5 N\u0027ouvrir que les documents provenant de sources de confiance\n\nA la reception d\u0027un document au format doc soit par le biais de la\nmessagerie \u00e9lectronique ou sur tout autre support, il est n\u00e9cessaire de\ns\u0027assurer de la provenance de ce fichier et de ne l\u0027ouvrir que si la\nsource est de confiance et apr\u00e8s analyse par un antivirus \u00e0 jour.\n\n## 5.6 Limiter l\u0027impact en utilisant un compte utilisateur sans privil\u00e8ge\n\nL\u0027utilisation de compte n\u0027ayant pas de droits d\u0027administration permet de\nlimiter l\u0027infection au contexte de l\u0027utilisateur.\n\n## Solution\n\nL\u0027\u00e9diteur affirme que cette vuln\u00e9rabilit\u00e9 ne permet pas d\u0027ex\u00e9cuter du\ncode arbitraire. Cette vuln\u00e9rabilit\u00e9 ne justifiant plus le m\u00eame niveau\nde vigilance le CERTA a d\u00e9cid\u00e9 de r\u00e9\u00e9valuer cette alerte.\n",
"cves": [
{
"name": "CVE-2007-1347",
"url": "https://www.cve.org/CVERecord?id=CVE-2007-1347"
}
],
"initial_release_date": "2007-03-09T00:00:00",
"last_revision_date": "2008-10-09T00:00:00",
"links": [
{
"title": "Note de vuln\u00e9rabilit\u00e9 de l\u0027US-CERT VU#194944 du 07 mars 2007 :",
"url": "http://www.kb.cert.org/vuls/id/194944"
}
],
"reference": "CERTA-2007-ALE-007",
"revisions": [
{
"description": "version initiale.",
"revision_date": "2007-03-09T00:00:00.000000"
},
{
"description": "r\u00e9\u00e9valuation de l\u0027alerte (passage en statut corrig\u00e9).",
"revision_date": "2008-10-09T00:00:00.000000"
}
],
"risks": [
{
"description": "D\u00e9ni de service"
}
],
"summary": "Une vuln\u00e9rabilit\u00e9 a \u00e9t\u00e9 d\u00e9couverte dans une biblioth\u00e8que de Microsoft\nWindows.\n",
"title": "Vuln\u00e9rabilit\u00e9 de Microsoft Windows Explorer",
"vendor_advisories": [
{
"published_at": null,
"title": "Alerte VU#194944 de l\u0027US-CERT",
"url": null
}
]
}
Drag nodes to arrange them. Double-click a related vulnerability to open it, or a source to visit its link. The Physics button on the left tunes the layout and the simulation; the legend at the bottom left hides or shows nodes by kind and by sighting type.
Sightings
| Author | Source | Type | Date | Other |
|---|
Nomenclature
- Seen: The vulnerability was mentioned, discussed, or observed by the user.
- Confirmed: The vulnerability has been validated from an analyst's perspective.
- Published Proof of Concept: A public proof of concept is available for this vulnerability.
- Exploited: The vulnerability was observed as exploited by the user who reported the sighting.
- Patched: The vulnerability was observed as successfully patched by the user who reported the sighting.
- Not exploited: The vulnerability was not observed as exploited by the user who reported the sighting.
- Not confirmed: The user expressed doubt about the validity of the vulnerability.
- Not patched: The vulnerability was not observed as successfully patched by the user who reported the sighting.
Vulnerability timeline
Sightings and recorded dates, grouped by day · UTC
How durations are calculated
Following the VTEM framework (Black Hat USA 2015), time to patch starts when the vendor or a coordinator was informed, total time to patch at discovery, and disclosure to patch at public disclosure; vendor response time runs from the report to its acknowledgement. Time to exploit and time unpatched start at the earliest discovery or report, falling back to public disclosure. Unpatched time ends at the first recorded patch, or the calculation time when no patch is recorded. Exploitation to patch shows the interval between those two events; a published proof of concept is a public exploit, not exploitation.
Each result shows its source dates. A negative interval means the end event came first; when date-only inputs leave the order open, the result says so. Date-only inputs are approximate. The earliest evidence wins: KEV report dates and sightings are labelled as such. Records describing another vulnerability are listed but never calculated from, and a PoC alone does not establish exploitation. Missing patch evidence does not prove that no patch exists. Filters below change the event list only.
Loading timeline…
The approach is described in our paper Mapping CVEs to MITRE ATT&CK Techniques: A Curated Gold-Set Classifier and the Limits of LLM-Assisted Label Expansion.
Browse all ATT&CK techniques and the vulnerabilities related to each.
Related by attack behaviour
Vulnerabilities whose description is nearest to this one in the vector space of the CIRCL/vulnerability-attack-technique-biencoder model. This is a similarity search over the bi-encoder space (plain cosine), not a classification, and it has no measured accuracy.