Update für Windows Media Player stopft alte Sicherheitslücke
Zusätzlich zum jüngsten Sicherheits-Update für den Internet Explorer wurde auch ein Patch für den Media Player bereitgestellt, der eine Sicherheitslücke stopft.
Vergangene Woche stellte Microsoft endlich ein Sicherheits-Update für den Internet Explorer zur Verfügung, das ein kritisches Sicherheitsloch stopft. In dem entsprechenden Advisory MS03-040 verwies Microsoft zudem auf ein Update für den Windows Media Player (WMP), der die Verhaltensweise beim Aufruf externer URLs korrigiert. Obwohl Microsoft das Update nicht als "Security Patch" bezeichnet, beseitigt es doch eine bekannte Sicherheitslücke, für die im Juli bereits Proof-of-Concept-Exploits veröffentlicht wurden.
In Media-Dateien, etwa .asf-Dateien, können URLs eingebettet sein, die der Media Player aufruft. Durch einen Fehler bei der Behandlung von DHTML ist es damit möglich, Webseiten in der lokalen Zone statt etwa der Internet-Zone zu öffnen. Manipuliert ein Angreifer eine .asf-Datei und bringt sein Opfer dazu, diese zu starten, kann er mit den Rechten des Opfers auf das lokale Dateisystem zugreifen und beliebige Programme starten. Media-Dateien können in HTML-Dokumenten eingebettet sein und auch per Mail verschickt werden. Anwender sollten den im Knowledge-Base-Artikel 828026 beschriebenen Patch einspielen. Der Artikel beschreibt auch, welcher WMP-Patch für welche Windows-Plattform geeignet ist.
Siehe dazu auch: (dab)
- Knowledgebase-Artikel zum WMP-Fehler von Microsoft
- Vulnerability Note von CERT/CC
