ActiveX-Modul für CD-Bonus-Programme unsicher
Im ActiveX-Modul CDPass können Schwachstellen dazu führen, dass beispielsweise Webseiten arglosen Nutzern beliebigen Programmcode unterschieben.
Eminem, Cold Play, 50 Cent, Mariah Carey – sie alle haben eines gemeinsam: Eine Software auf ihren CDs, die zusätzliche Downloads und Inhalte zur erworbenen CD verspricht. Das Programm mit dem Namen CDPass analysiert die eingelegte CD und schaltet dann Inhalte auf Webseiten frei, wenn der Anwender so den Besitz des Datenträgers nachweist.
Das von der Datei CDPass.dll bereitgestellte ActiveX-Modul ist jedoch anfällig für mehrere Pufferüberläufe, meldet das US-CERT. In der Folge können Angreifer mit präparierten Webseiten oder HTML-Mails Schadcode einschleusen und mit den Rechten des angemeldeten Benutzers ausführen. Genauere Informationen liefert das US-CERT in seiner Sicherheitsmeldung nicht.
Bislang ist noch kein Update vom Hersteller, der Media Technology Group, in Sicht. Daher sollten betroffene Anwender entweder ActiveX deaktivieren oder das Killbit für das ActiveX-Control mit der CLSID {46C66BBD-E667-4dad-9682-58050E7C9FDC} setzen. Ein Kowledgebase-Artikel von Microsoft gibt dabei Hilfestellung.
Siehe dazu auch:
- Media Technology Group CDPass ActiveX control stack buffer overflows, Sicherheitsmeldung des US-CERT
(dmk)
