Manifest-Dateien - riskante Neulinge in Windows XP

Windows XP bringt neue Gestaltungsmöglichkeiten (Visual Styles) für den Desktop mit, aber auch neue Gefahren. Über ".manifest"-Dateien - die Windows XP für die Visual Styles braucht - lässt sich das System dauerhaft lahm legen.

Microsoft hat in Windows XP ".manifest"-Dateien (XML-Dateien) eingeführt, die beim Start von Applikationen die zugehörige Information zur Visualisierung des Programms liefern. Damit ermöglicht Microsoft etwa die individuelle Gestaltung des Desktops unter Windows XP.

Riskant ist aber, dass Windows XP beim Öffnen einer Anwendung immer nach einer Manifest-Datei sucht und, falls vorhanden, die dort verzeichneten Dateien und Bibliotheken lädt. Das bedeutet, dass Windows auch beim Start von allen Systemprogrammen, etwa der Kommandozeile mit "cmd.exe", nach einer Manifest-Datei sucht.

Im Internet kursiert derzeit eine Demonstration, die zeigt, welchen Schaden korrupte Manifest-Dateien anrichten können. Als Beispiel dient eine manipulierte "explorer.exe.manifest"-Datei. Statt gültigen, in XML geschriebenen Informationen zu Styles und DLLs enthält die Datei sinnfreie Zeichen. Kopiert man die Datei in das Windows-Verzeichnis des RC1 von Windows XP und startet neu oder beendet den Explorer über den Taskmanager, so hängt das System. Windows XP RC1 gibt in diesem Fall nicht einmal eine Fehlermeldung aus. Dass die Demonstration funktioniert, konnten wir mit Windows XP RC1 nachvollziehen.

Für den unbekannten Autor der Demonstration sind die Möglichkeiten, die sich dadurch für Angreifer ergeben, fatal. Bringt etwa ein Virus diverse Manifest-Dateien für Systemprogramme mit und installiert sie, dürfte nur eine Neuinstallation von Windows helfen. Letztlich lässt sich damit jede Applikation handlungsunfähig machen, solange es nicht gelingt, die zugehörige Manifest-Datei zu löschen.

Im Fall der korrupten "explorer.exe.manifest" kann der Schaden noch über die Kommandozeile behoben werden, die man über den Taskmanager aufruft und darüber die "explorer.exe.manifest"-Datei löscht. Lässt sich cmd.exe und/oder der Taskmanager wegen korrupter Manifest-Dateien ebenfalls nicht aufrufen, kann man sich ausmalen, wie groß die Probleme werden. Erschwerend kommt hinzu, dass Microsoft erst mit Windows XP Manifest-Dateien einführt. Wer - etwa als Administrator - vor einem abgestürzten Windows XP sitzt, kann sich also schon glücklich schätzen, wenn er davon gehört hat.

Microsoft hat die Manifest-Dateien eingeführt, da sich dadurch Elemente ohne Update des Betriebssystems oder das Einspielen eines Service-Packs ändern lassen. Bisher hat Windows etwa die Darstellung von Rahmen und Menüs der User32.dll und teilweise der ComCt32.dll überlassen. Die User32.dll ist aber als wichtige Systemkomponente an eine bestimmte Version des Betriebssystems gebunden. Die ebenfalls mit Steuerfunktionen betraute ComCt32.dll fällt unter Windows 2000 und ME unter den Windows-Dateischutz. Bei Windows XP hat Microsoft die ComCt32.dll auf die Version 6 aktualisiert, damit sie etwa die neuen Designs, die Hyperlink-Steuerung und die Gruppenansicht unterstützt.

Microsoft ist sich darüber bewusst, dass die neue ComCT32.dll "ein Potenzial zum Eindringen in manche Anwendungen" mitbringt und liefert deshalb die alte Version 5 der ComCt32.dll ebenfalls mit - zur Vermeidung von Gefahr, heißt es in der Microsoft-Entwicklerbibliothek. Auf welche Version - alt oder neu - der ComCt32.dll Windows XP zurückgreift, hänge dann davon ab, ob zur jeweiligen Anwendung eine Manifest-Datei existiere, gibt Microsoft an.

In Anbetracht der aufgezeigten Mängel beim Umgang mit Manifest-Dateien ist diese Absicherung höchst fraglich. Empfehlenswert erscheint, dass Windows XP zumindest prüft, ob die Manifest-Datei gültiges XML enthält. Ist das nicht der Fall, sollte XP auf die Standard-Darstellung ohne Styles zurückgreifen.

Weitere Informationen zu Windows XP finden Sie in den Reports Windows Produktaktivierung ausgehebelt und XP-Aktivierung Bit für Bit. Einen Test des RC1 von Windows XP finden Sie hier. Informationen zur neuen grafischen Benutzeroberfläche finden Sie im Report Luna: Windows XP noch bunter. (uba)