Microsoft stopft WMF-Sicherheitslücke

Offizieller Patch außerhalb der Reihe erschienen

Microsoft hat außerhalb des normalen Patch-Zyklus ein Sicherheits-Update für Windows 2000, XP und Server 2003 veröffentlicht, das die WMF-Lücke schließen soll. Eigentlich sollte das Update erst am 10. Januar 2006 erscheinen - dem diesmonatigen Patch-Day.

Artikel veröffentlicht am 6. Januar 2006, 8:43 Uhr, Andreas Donath

Die Tests seien jedoch früher abgeschlossen worden als man zunächst erwartete, teilte Microsoft mit. Es sei aber auch auf Grund des starken Drängens der Kunden früher herausgegeben worden, gab Microsoft zu.

Manipulierte WMF-Bilddateien können über die Sicherheitslücke Code einschleusen und zur Ausführung bringen, wenn man sie mit dem "Windows Picture und Fax Viewer" oder dem Explorer in der Voransicht betrachtet. Es reicht auch schon, wenn man eine Website mit einem manipulierten WMF mit dem Internet Explorer besucht.

Mittlerweile wurde auch schon eine Bausatz-Software entdeckt, mit der Angreifer entsprechende Schadroutinen erstellen können. Bevor Microsoft nun Abhilfe schaffen konnte, wurde auch schon ein inoffizieller Patch von IDA-Pro-Entwickler Ilfak Guilfanov veröffentlicht, der entsprechende API-Aufrufe umlenkte. Vor Installation des offiziellen Patches sollte man diese temporäre Lösung wieder deinstallieren.

Microsoft bietet den Patch sowohl für Windows Server 2003 Service Pack 1, den Windows Server 2003 für Itanium-Systeme und Windows Server 2003 x64 sowie Windows 2000 Service Pack 4, Microsoft Windows XP Service Pack 1 und 2 sowie die XP Professional x64 Edition an. Für Windows 98 (SE) und ME sowie NT 4 gibt es keine Patches.

Der Patch ist je nach System zwischen 0,7 und 1,8 MByte groß und erfordert nach der Installation einen Neustart. Über den Windows-Update-Prozess wird er natürlich auch zur Verfügung gestellt.