Deutsch | English

Schwachstelle bei der Anzeige von Thumbnails in Microsoft Windows

5. Jänner 2011
Update am 11. Jänner 2011

Die Sicherheitslücke ermöglicht Remote Code Execution - CERT.at ersucht daher um Beachtung der folgenden Meldung.

Beschreibung

Microsoft warnt vor einer kritischen Sicherheitslücke in Windows, die bei der Anzeige von Thumbnail-Bildern zum Tragen kommt. Dabei lässt sich durch entsprechend präparierte Bilder ein Stacküberlauf erzielen, der als Basis für eine anschließende Remote Code Execution genutzt werden kann. Weitere technische Details sind den Unterlagen zweier Sicherheitsexperten zu entnehmen, die bereits im vergangenen Dezember im Zuge eines Vortrages auf diese Lücke aufmerksam gemacht haben.

Update (11. Jänner 2011):
Es ist momentan unklar, ob die Microsoft Windows Bild- und Faxanzeige auch von dem gegenständlichen Problem betroffen ist - letztere bedient sich ebenso der betroffenen Bibliothek (shimgvw.dll). Seitens Microsoft gibt es diesbezüglich noch keine Aussage. CERT.at empfiehlt daher, diesen Umstand zu berücksichtigen und bei der Anzeige von Grafiken (Bilder, Fotos, ...) aus nicht vertrauenswürdigen Quellen entsprechend Vorsicht walten zu lassen.

Als Infektionsszenario skizziert Microsoft den Verbreitungsweg über Email - das Öffnen eines angehängten Word- oder Powerpoint-Dokuments, das ein solches Bild enthält, wäre bereits ausreichend. Aber auch der Besuch eines Netzwerk-Shares, eines UNC- oder WebDAV-Pfades, oder auch eines USB-Sticks würde durch ein entsprechendes, dort hinterlegtes Bild, zu einer Infektion führen.

Auswirkungen

Da der Angreifer dadurch prinzipiell beliebigen Code auf betroffenen Systemen ausführen kann, sind alle Daten auf diesen Systemen, sowie potentiell alle durch diese erreichbaren (etwa durch ausspionierte Zugangsdaten, VPN, Fileshares, etc.) Daten und anderen Systeme gefährdet.

Ein entsprechendes Exploit-Modul ist via Metasploit bereits beziehbar. Es ist demnach zu erwarten, dass diese Schwachstelle schon bald in großem Stil ausgenützt wird.

Betroffene Systeme

Alle Versionen von Microsoft Windows mit Ausnahme von Windows 7 und Server 2008 R2.

Abhilfe

Ein Patch seitens Microsoft steht noch nicht zur Verfügung. Microsoft empfiehlt in seinem Advisory die Zugriffsberechtigungen der betroffenen Bibliothek (shimgvw.dll) entsprechend einzuschränken. Dies hat aber auch zur Folge, dass Vorschauen legitimer Bilder nicht mehr funktionieren.

Hinweis

Generell empfiehlt CERT.at, wo möglich die "automatisches Update"-Features von Software zu nutzen, parallel Firewall-Software aktiv und den Virenschutz aktuell zu halten.
Informationsquelle(n):

Advisory von Microsoft (englisch)
http://www.microsoft.com/technet/security/advisory/2490606.mspx
Vortragsunterlagen der Entdecker
http://www.exploit-db.com/author/?a=3094
Metasploit-Modul
https://www.metasploit.com/redmine/projects/framework/repository/revisions/11466/entry/modules/exploits/windows/fileformat/ms11_xxx_createsizeddibsection.rb
Update: Warnung von Bürger-CERT
http://www.buerger-cert.de/techwarnung_archiv.aspx?param=Zxo7YT%2f0plf547PoiK%2fv5g%253d%253d
Update: Advisory von Microsoft (deutsch)
http://www.microsoft.com/germany/technet/sicherheit/empfehlungen/2490606.mspx
Email: reports@cert.at
Tel.: +43 1 5056416 78
mehr ...
Kritische Sicherheitslücken in Adobe Flash Player/Libraries - Patches nun auch für Microsoft Browser verfügbar
22. Februar 2017 | Beschreibung Adobe ...
Update: Kritische Lücke in Microsoft Windows ermöglicht DoS / Remote Code Execution via SMB - Updates nun verfügbar
3. Februar 2017 | ...
mehr ...
Workaround? Abdrehen!
21. März 2017 | Langsam ...
Propaganda auf Twitter
15. März 2017 | Der echte ...
mehr ...
Jahresbericht 2016
Ein Resumee zur digitalen Sicherheitslage in Österreich

(HTML, PDF).
Letzte Änderung: 2013/7/17 - 17:00:09
Haftungsausschluss