zurück zum Artikel

Eine kritische Sicherheitslücke bei der Verarbeitung von JPEG-Bildern ermöglicht das Einschleusen und Ausführen von beliebigem Code. Ein Opfer muss ein präpariertes Bild nur mit einer verwundbaren Applikation betrachten.

Microsoft hat am heutigen Patch-Day [1] ein Security Bulletin herausgegeben, das eine kritische Sicherheitslücke bei der Verarbeitung von JPEG-Bildern beschreibt. Aufgrund eines Fehler in der JPEG-Parsing-Komponente (gdiplus.dll) kann ein manipuliertes Bild einen Buffer Overflow in einer Anwendung provozieren, mit dem sich der Stack überschreiben lässt. Ein Angreifer kann so über präparierte Bilder Code in das System eines Opfers schleusen und in dessen Kontext -- meist Administrator -- ausführen, beispielsweise um Dialer, Trojaner und Backdoors zu installieren.

Allerdings muss das Opfer ein derartiges Bild auf dem System mit einer Applikation ansehen, die die fehlerhafte Komponente benutzt. Dazu reicht aber schon das Lesen einer E-Mail, der Besuch einer Webseite, die Vorschau in einem Verzeichnis auf der Festplatte oder das Betrachten eines Dokumentes mit eingebettetem Bild aus. Laut Microsofts Bulletin MS04-028 [2] ist eine große Zahl von Anwendungen betroffen:

• Windows XP and Microsoft Windows XP Service Pack 1
• Windows XP 64-Bit Edition Service Pack 1
• Windows XP 64-Bit Edition Version 2003
• Windows Server™ 2003
• Windows Server 2003 64-Bit Edition
• Office XP Service Pack 3
• Office XP Service Pack 3
• Outlook 2002
• Word 2002
• Excel 2002
• PowerPoint 2002
• FrontPage 2002
• Publisher 2002
• Office 2003
• Outlook 2003
• Word 2003
• Excel 2003
• PowerPoint 2003
• FrontPage 2003
• Publisher 2003
• InfoPath 2003
• OneNote 2003
• Project 2002 Service Pack 1
• Project 2003
• Visio 2002 Service Pack 2
• Visio 2003
• Visual Studio .NET 2002
• Visual Basic .NET Standard 2002
• Visual C# .NET Standard 2002
• Visual C++ .NET Standard 2002
• Visual Studio .NET 2003
• Visual Basic .NET Standard 2003
• Visual C# .NET Standard 2003
• Visual C++ .NET Standard 2003
• Visual J# .NET Standard 2003
• Microsoft .NET Framework version 1.0 SDK Service Pack 2
• Microsoft .NET Framework version 1.0 Service Pack 2
• Microsoft .NET Framework version 1.1
• Picture It! 2002
• Greetings 2002
• Picture It! version 7.0 (alle Versionen)
• Digital Image Pro version 7.0
• Picture It! version 9
• Digital Image Pro version 9
• Digital Image Suite version 9
• Producer for Microsoft Office PowerPoint
• Microsoft Platform SDK Redistributable: GDI+
• Internet Explorer 6 Service Pack 1

Nicht betroffen sind unter anderem Windows 98, NT, 2000 und Windows XP mit Service Pack 2 sowie der Internet Explorer 5.01 und 5.5. Allerdings wird ein nicht betroffenes System durch die Installation einer der oben genannten Applikationen wieder verwundbar. Genauere Angaben sind dem Original-Bulletin zu entnehmen.

Microsoft hat für alle verwundbaren Komponenten Patches zur Verfügung gestellt. Anwender können diese über die Links in den Bulletins beziehen oder über den Windows-Update-Dienst installieren. Zusätzlich haben die Redmonder ein Tool zum Download bereit gestellt, mit dem Anwender überprüfen können, ob sie eine Microsoft-Applikation auf ihrem System installiert haben, die die fehlerhafte GDI-Komponente benutzt: Microsoft GDI+ Detection Tool [3]

Siehe dazu auch: > (dab [4])

• Bulletin MS04-028 [5] von Microsoft

URL dieses Artikels:
https://www.heise.de/-105103

Links in diesem Artikel:
[1] https://www.heise.de/news/Rollup-Pack-fuer-Windows-XP-laeutet-neue-Update-Politik-von-Microsoft-ein-86963.html
[2] http://www.microsoft.com/technet/security/bulletin/MS04-028.mspx
[3] http://support.microsoft.com/default.aspx?scid=kb;EN-US;873374
[4] mailto:dab@ct.de
[5] http://www.microsoft.com/technet/security/bulletin/MS04-028.mspx

Copyright © 2004 Heise Medien