Le Centre d'Aide et d'Assistance ne valide pas correctement les URL HCP. Un agresseur pourrait exploiter cette vulnérabilité en créant une URL « hcp:// » malicieuse qui permettrait l'exécution d'un code à distance, si un utilisateur visitait un site Web malicieux ou affichait un email malicieux dans Outlook et Outlook Express et potentiellement dans tous les programmes de courriel utilisant le moteur d'IE pour afficher les emails au format HTML. L'utilisateur qui cliquerait sur un lien piégé pourrait alors être concerné. Les risques sont réduits en cas d'application du dernier patch cumulatif pour IE ainsi qu'avec l'installation d'IE 6.

Cette mise à jour supprime l'option de Windows XP pour mettre à niveau un décodeur de DVD. L'Assistant de recherche de nouveau matériel est aussi affecté. L'envoi de profil matériel a été ainsi supprimé. Une tentative d'utilisation de ces fonctions renverra un message d'erreur « Cannot display this page ».

Télécharger le patch

Plus d'informations : Microsoft Security Bulletin MS04-015, Vulnerability in Help and Support Center Could Allow Remote Code Execution (840374), 11 mai 2004