Zlib-Sicherheitslücke erfasst auch Microsoft

Auch Windows XP, Office, DirectX 8 möglicherweise unsicher. Auch Microsoft ist offenbar von der kürzlich bekannt gewordenen Sicherheitslücke in der zlib-Bibliothek betroffen. Mitglieder des Open-Source-Projekts Gzip haben eine Liste mit über 600 Applikationen veröffentlicht, die eine statisch gelinkte, unsichere zlib-Version nutzen und neu compiliert werden müssen. Darunter auch neue Applikationen von Microsoft.

15. März 2002 um 10:36 Uhr / Jens Ihlenfeld

Die Liste entstand mit Hilfe eines Perl-Scripts von Florian Weimer, das nach Tabellen, die in der zlib enthalten sind, scannt und so statisch gelinkte Versionen der Bibliothek aufspüren kann. Unter den gefundenen Applikationen finden sich unter anderem auch Microsoft DirectX 8, FrontPage, InstallShield, Internet Explorer, Office, NetShow, Visual Studio und Messenger und GDI+. Letzteres ist Bestandteil von Windows XP.

Durch die Sicherheitslücke ist es dem Eindringling unter bestimmten Umständen möglich, sich Root-Rechte über das betroffene System zu erlangen. Zurzeit sei dies allerdings mehr eine theoretische Gefahr, Hinweise auf ein konkretes Ausnutzen der Schwachstelle gibt es noch nicht, so die Entdecker der Sicherheitslücke. Zudem muss die betroffene Microsoft-Software nicht zwangsläufig gefährdet sein, dies hängt von der Integration anderer Softwarekomponenten ab, die Microsoft verwendet.

Anders als die GNU GL erlaubt es die Lizenz der zlib, die Bibliothek in jeder Art und Weise zu nutzen, was ausdrücklich auch eine kommerzielle Nutzung einschließt.