Gefährliche Sicherheitslücke im Windows Media Player

Microsofts Sicherheitsstrategie wird zur reinen Farce

Am Februar-Patch-Day des heutigen 11. Februar 2004 veröffentlichte Microsoft auch einen Patch für ein gefährliches Sicherheitsleck für alle Versionen des Windows Media Player. Allerdings geschah dies nicht - wie zu erwarten wäre - über das entsprechende Security Bulletin. Stattdessen veröffentlichte Microsoft alle Informationen darüber lediglich in einem Knowledge-Base-Artikel, womit die neue Sicherheitsstrategie von Microsoft jegliche Nachvollziehbarkeit verliert.

Artikel veröffentlicht am 11. Februar 2004, 14:27 Uhr, Ingo Pakalski

Das Sicherheitsleck in mehreren Versionen des Windows Media Player gestattet es einem Angreifer, in einen Audio- oder Video-Stream ausführbaren Script-Code in Form einer URL einzubinden, der dann in der lokalen Sicherheitszone des Opfers ausgeführt werden kann. Damit erlangt ein Angreifer umfassende Kontrolle über ein fremdes System, indem ein Opfer lediglich einen Audio- oder Video-Stream mit dem Windows Media Player empfängt.

In einem Knowledge-Base-Artikel begründet Microsoft das Verhalten damit, dass es sich dabei eigentlich gar nicht um einen Fehler handele, sondern dies eine extra implementierte Funktion darstelle. Dennoch sieht sich Microsoft veranlasst, für diese "Funktion" einen Patch anzubieten. Der auch in deutscher Sprache kostenlos zum Download angebotene Patch nimmt einen neuen Eintrag in der Registry vor. Darüber kann ein Administrator bestimmen, wie URL-Daten in entsprechenden Audio- und Video-Streams verarbeitet werden. So erklärt der betreffende Knowledge-Base-Artikel, unter welchen Umständen der Windows Media Player entsprechende URLs in Streaming-Daten berücksichtigt.

Sah es einige Monate so aus, als ob Microsoft mit seiner neuen Sicherheitsstrategie Erfolg hatte, hinterlässt der heutige Tag mindestens ein zwiespältiges Bild. In den vergangenen Monaten hat Microsoft Sicherheits-Patches nur einmal im Monat veröffentlicht und ist auch bis Februar 2004 nicht davon abgerückt. Mit dem heutigen 11. Februar 2004 hinterlässt Microsoft aber vor allem Verwirrung bei den Anwendern: Denn zum einen wurde das im Februar 2004 erschienene Security Bulletin eine Woche nach der ersten Veröffentlichung komplett umgekrempelt. Zum anderen enthält das entsprechende Dokument nicht alle veröffentlichten Sicherheits-Patches, wie das Sicherheitsloch im Windows Media Player belegt. Damit kann das Ziel der neuen Sicherheitsstrategie Microsofts in dem Punkt als gescheitert angesehen werden, dem Anwender mit einem monatlichen Patch-Day einen leichteren Überblick über Sicherheitslücken zu verschaffen.