Nährboden für Viren: Manifest-Lücke in Windows XP

Die neuen Gestaltungsmöglichkeiten (Visual Styles) für den Desktop in Windows XP bergen Sicherheitsrisiken. Wie bereits bei RC1 lässt sich auch in der finalen Version das System über "manifest"-Dateien dauerhaft lahm legen.

Microsoft hat in Windows XP so genannte ".manifest"-Dateien (XML-Dateien) eingeführt, die beim Start von Applikationen die zugehörige Information zur Visualisierung des Programms liefern. Damit ermöglicht Microsoft etwa die individuelle Gestaltung des Desktops unter Windows XP.

Riskant ist aber, dass Windows XP beim Öffnen einer Anwendung immer nach einer .manifest-Datei sucht und, falls vorhanden, die dort verzeichneten Dateien und Bibliotheken lädt. Dies gilt auch für den Start von allen Systemprogrammen, etwa der Kommandozeile "cmd.exe".

Besonders heikel gestaltet sich das Problem, falls manipulierte .manifest-Dateien in das System eingebracht werden, z.B. durch einen Hacker-Angriff oder Viren. Im tecChannel.de-Labor haben wir eine manipulierte .manifest-Datei für den Windows-Explorer (explorer.exe) erzeugt. Statt gültigen, in XML geschriebenen Informationen zu Styles und DLLs enthält die Datei sinnfreie Zeichen. Kopiert man die Datei in das Windows-Verzeichnis von Windows XP und startet neu oder beendet den Explorer über den Taskmanager, so hängt sich das System auf. Windows XP gibt in diesem Fall nicht einmal eine Fehlermeldung aus. tecChannel.de konnte das Problem am RC1 und jetzt auch an der fertigen Version von Windows XP nachvollziehen.

Die Auswirkungen sind - wie bereits zum RC1 berichtet - fatal. Bringt etwa ein Virus diverse Manifest-Dateien für Systemprogramme mit und installiert sie, dürfte nur eine Neuinstallation von Windows helfen. Letztlich lässt sich damit jede Applikation handlungsunfähig machen, solange es nicht gelingt, die zugehörige Manifest-Datei zu löschen.

Im Fall der korrupten "explorer.exe.manifest" kann der Schaden noch über die Kommandozeile behoben werden, die man über den Taskmanager aufruft und darüber die "explorer.exe.manifest"-Datei löscht. Lässt sich cmd.exe und/oder der Taskmanager wegen korrupter Manifest-Dateien ebenfalls nicht aufrufen, kann man sich ausmalen, wie groß die Probleme werden.

Microsoft hat die Manifest-Dateien eingeführt, da sich dadurch Elemente ohne ein Update des Betriebssystems oder das Einspielen eines Service-Packs ändern lassen. Bisher hat Windows etwa die Darstellung von Rahmen und Menüs der User32.dll und teilweise der ComCt32.dll überlassen. Die User32.dll ist aber als wichtige Systemkomponente an eine bestimmte Version des Betriebssystems gebunden. Die ebenfalls mit Steuerfunktionen betraute ComCt32.dll fällt unter Windows 2000 und ME unter den Windows-Dateischutz. Bei Windows XP hat Microsoft die ComCt32.dll auf die Version 6 aktualisiert, damit sie etwa die neuen Designs, die Hyperlink-Steuerung und die Gruppenansicht unterstützt.

Microsoft selbst schreibt laut Entwicklerbibliothek der ComCT32.dll "ein Potenzial zum Eindringen in manche Anwendungen" zu. Das Problem will man durch das Mitliefern der alten Version 5 der ComCt32.dll behoben haben. Auf welche Version - alt oder neu - der ComCt32.dll Windows XP zurückgreift, hänge dann davon ab, ob zur jeweiligen Anwendung eine Manifest-Datei existiere, so Microsoft.

In Anbetracht der aufgezeigten Mängel beim Umgang mit .manifest-Dateien ist diese Absicherung höchst fraglich. Empfehlenswert wäre, wenn Windows XP zumindest prüfen würde, ob die Manifest-Datei gültigen XML-Code enthält. Wenn nicht, sollte XP auf die Standard-Darstellung ohne Styles zurückgreifen.

Weitere Informationen zu Windows XP finden Sie in den Reports Windows Produktaktivierung ausgehebelt und XP-Aktivierung Bit für Bit. Einen Test des RC1 von Windows XP finden Sie hier. Informationen zur neuen grafischen Benutzeroberfläche finden Sie im Report Luna: Windows XP noch bunter. (uba)