• IT-Karriere:
  • Services:

Auch Linux durch Wine anfällig für WMF-Sicherheitsloch

Patch bereits an Wine-Projekt weitergegeben

Das Sicherheitsloch, durch das sich mit manipulierten WMF-Bilddateien Code unter Windows ausführen lässt, betrifft auch die freie Implementierung des Windows-API Wine sowie dessen Derivate. Dadurch soll sich auch Shellcode auf dem betroffenen System ausführen lassen.

Artikel veröffentlicht am , Julius Stiebert

Der Netzwerkspezialist George Ou hat in seinem Blog eine E-Mail von H. D. Moore veröffentlicht, dem Autoren des Proof-of-Concept-Codes für das WMF-Sicherheitsloch. Demnach seien sowohl Wine als auch Cedega und CrossOver Office betroffen, da das komplette Meta File API in Wine implementiert wurde. Sämtliche Applikationen, die in einer dieser Umgebungen ausgeführt werden, sind daher anfällig für die Sicherheitslücke. Ein in ein Word-Dokument eingebettes WMF-Bild könnte beispielsweise zum Einschleusen von schädlichem Programmcode dienen.

Stellenmarkt
  1. KION Group AG, Frankfurt am Main
  2. PLIXXENT Holding GmbH, Oldenburg, Hamburg

Laut Moore ließe sich so nicht nur Windows-Code ausführen, sondern auch nativer Shellcode auf dem betroffenen System. Marcus Meissner von Suse hat bereits einen Patch an die Wine-Entwickler weitergereicht.

Unter Windows 2000, XP und Windows Server 2003 lässt sich die Sicherheitslücke ausnutzen, indem Opfern manipulierte WMF-Bilddateien untergeschoben werden. Microsoft stellt mittlerweile einen Patch bereit.

Laut F-Secure wurde beim Design von WMF in den 80er-Jahren allerdings explizit vorgesehen, dass Bilder ausführbaren Code mitbringen können, das Wine-Projekt hätte somit einfach die WMF-Spezifikation korrekt umgesetzt. Moore hingegen findet die Implementierung des Media File API überraschend, da den Entwicklern seiner Meinung nach das darin befindliche Sicherheitsrisiko hätte auffallen müssen. Dies sei auch nicht das erste Mal, dass ein Windows-Sicherheitsproblem direkt Wine betreffe. Es sei aber wohl das erste Mal, dass es auch einen Effekt für das darunter liegende System habe, so Moore weiter.

Bitte aktivieren Sie Javascript.
Oder nutzen Sie das Golem-pur-Angebot
und lesen Golem.de
  • ohne Werbung
  • mit ausgeschaltetem Javascript
  • mit RSS-Volltext-Feed


Anzeige
Hardware-Angebote
  1. 69,99€ (Vergleichspreis 103,99€)

Herb 13. Jan 2006

so, aus deiner Form von objektivem Wissen - der Wikipedia: "Wine kann ohne vorhandene...

Missingno. 12. Jan 2006

http://www.gmx.net/de/themen/computer/hightech/software/1782588.html "Security-Experten...

Michael - alt 09. Jan 2006

Lach, genauso unsicher wie Linux. Denn sonst würde der Windows-Code da ja nichts...

XeniosZeus 09. Jan 2006

Wine ist nach wie vor im Entwicklungsstatus und nennt das selber ALPHA-Status. Zuhause...

Moo-Crumpus 09. Jan 2006

Never loose your stiff underlip.


Folgen Sie uns
       


Halo (2001) - Golem retro_

2001 feierte der Master Chief im Klassiker Halo: Kampf um die Zukunft sein Debüt. Wir blicken zurück und merken, wie groß der Einfluss des Spiels wirklich ist.

Halo (2001) - Golem retro_ Video aufrufen
Magenta-TV-Stick im Test: Android-TV-Stick gleicht Magenta-TV-Schwächen nicht aus
Magenta-TV-Stick im Test
Android-TV-Stick gleicht Magenta-TV-Schwächen nicht aus

Eine bequeme Nutzung von Magenta TV verspricht die Telekom mit dem Magenta-TV-Stick. Wir haben uns die Hardware angeschaut und dabei auch einen Blick auf Magenta TV geworfen. Der Dienst hat uns derzeit noch zu viele Schwächen.
Ein Test von Ingo Pakalski

  1. Peacock NBC Universal setzt gegen Netflix auf Gratis-Streaming
  2. Joyn Plus+ Probleme bei der Kündigung
  3. Android TV Magenta-TV-Stick mit USB-Anschluss vergünstigt erhältlich

Erneuerbare Energien: Windkraft in Luft speichern
Erneuerbare Energien
Windkraft in Luft speichern

In Zukunft wird es mehr Strom aus Windkraft geben. Weil die Anlagen aber nicht kontinuierlich liefern, werden Stromspeicher immer wichtiger. Batterien sind eine Möglichkeit, das britische Startup Highview Power hat jedoch eine andere gefunden: flüssige Luft.
Ein Bericht von Wolfgang Kempkens

  1. Energiewende Norddeutschland wird H
  2. Energiewende Brandenburg bekommt ein Wasserstoff-Speicherkraftwerk
  3. Energiewende Dänemark plant künstliche Insel für Wasserstofferzeugung

Shitrix: Das Citrix-Desaster
Shitrix
Das Citrix-Desaster

Eine Sicherheitslücke in Geräten der Firma Citrix zeigt in erschreckender Weise, wie schlecht es um die IT-Sicherheit in Behörden steht. Es fehlt an den absoluten Grundlagen.
Ein IMHO von Hanno Böck

  1. Perl-Injection Citrix-Geräte mit schwerer Sicherheitslücke und ohne Update

    •  /