Instant-Messaging-Profile nutzen kritische JPEG-Lücke

Zwei Benutzer des AOL Instant Messenger haben sich an das ISC gewendet, weil sie mittels einer Nachricht "Check out my profile, click GET INFO!" auf eine Webseite gelockt wurden, die ein JPEG mit Schadcode enthielt. Wie wir ausführlich berichteten, haben Windows und diverse Windows-Anwendungen eine schwer wiegende Sicherheitslücke, die es über das Öffnen eine JPEGs ermöglicht, Code einzuschleusen. Genau diesen Versuch hat der Angreifer unternommen. Laut ISC wurde dabei eine Backdoor installiert. Die manipulierten Webseiten mit den AIM-Profilen und den verseuchten JPEGs sind inzwischen nicht mehr vorhanden. Bislang sind den Sicherheitsexperten auch keine weiteren Berichte über einen Angriffsversuch über den AIM oder andere Instant Messenger untergekommen.

Die Verbreitung von Code über JPEGs stellt ein sehr hohes Risiko für Benutzer dar. Microsoft bietet zwar Patches, aufgrund der Vielfalt der potenziell gefährdeten Anwendung und dem daraus entstehenden Wirrwarr bei den installierten Versionen der betroffenen DLLs gilt die Lücke aber derzeit als nicht völlig gestopft. Microsoft bietet ein Tool an, mit dem sich testen lässt, ob betroffene Anwendungen auf der jeweiligen Maschine installiert sind. Das ISC hat in einem offenen Brief an Microsoft wiederum die Unzulänglichkeiten dieses Tools im Hinblick auf Produkte von Drittherstellern bemängelt. Ein vom ISC entwickeltes Tool (GDI Scan) soll die Suche nach möglicherweise betroffenen DLLs auf Drittanbieter erweitern. Dem Benutzer bleibt die mühsame Suche nach Patches für die einzelnen Applikationen allerdings selbst überlassen. Die Lage hat sich seit dem Auftauchen eines einfach zu handhabenden Kit, mit dem sich JPEGS mit Schadcode erstellen lassen, noch verschärft (wir berichteten).

Um über Sicherheitslücken auf dem Laufenden zu bleiben, empfiehlt sich ein Blick in die Security Reports von tecCHANNEL. Den Service, der in Zusammenarbeit mit Secunia angeboten wird, können Sie auch als kostenlosen Newsletter abonnieren. (uba)