Sammel-Patch für Windows Media Player

Microsoft hat einen General-Patch für den Media Player (Version 6.4, 7.1 und XP) veröffentlicht. Neben den bisher für den Media Player vorhandenen Patches enthält die Sammlung Abhilfe für drei Lücken neueren Datums.

Microsoft bezeichnet eine der drei neuen Sicherheitslücken als kritisch. Sie entsteht, weil der Media Player die Unart hat, Informationen an den Download-Server zurückzugeben, wenn ein Benutzer eine kopiergeschützte Datei herunterlädt. Üblicherweise landen kopiergeschützte Media-Dateien in einem vom Internet Explorer verwalteten temporären Speicherbereich. Dieser "IE Cache" besteht aus diversen Systemordnern. Damit ein Angreifer nicht herausfinden kann, wo die Datei gespeichert ist, erzeugt der Internet Explorer zufällige Ordnernamen.

Hier kommt nun der Media Player ins Spiel. Er hebelt das Tarnmanöver des IE schlicht aus, indem er bei der Überprüfung der Lizenzdaten der heruntergeladenen Datei den Pfad an den Download-Server übermittelt. Mildernde Umstände beantragt Microsoft, weil der Angriff nur mit Dateien funktioniert, die das Windows Media Player Digital Rights Management (DRM) in der Version 1.0 verwenden. Ein Angreifer kann die Lücke ausnutzen, indem er eine Datei per E-Mail schickt oder sie auf einer Webseite hostet. Der Patch für diese Lücke verhindert, dass der Media Player Pfad und Dateiname zurückgibt.

Die beiden zusätzlichen Lücken sind weniger kritisch. Die eine steckt im Windows Media Device Manager (WMDM) und betrifft nur den Windows Media Player 7.1, wenn er unter Windows 2000 installiert ist. Um sie zu nutzen, muss ein Angreifer laut Microsoft zusätzlich in der Lage sein, ein Programm zuerst auf das System zu laden und es dann auch noch auszuführen.

Der Device Manager ist ein Zusatz, den Microsoft in den Media Player integriert hat. Er ist dafür zuständig, Dateien auf mobile Geräte wie MP3-Player zu übertragen, die am PC angeschlossen werden. Der Device Manager macht den Fehler, ungültige Anfragen zum Anschluss eines Gerätes nicht einfach zu beenden. Da der Anschluss-Prozess auf Systemlevel mit allen Benutzerrechten weiter läuft, kann ein Angreifer die Lücke für eigene Zwecke nutzen. Zuvor müsste es ihm aber gelingen, einen solchen Prozess mit einem lokal gespeicherten Programm auszulösen. Im Remote-Zugriff, den Windows 2000 ebenfalls anbietet, funktioniert der Angriff nicht.

Die dritte Lücke hängt mit dem Abspeichern von Playlists (asx-Dateien) auf bekannten Pfaden zusammen. Dass die Lücke ausgenutzt werden kann, hält Microsoft für relativ unwahrscheinlich. Ein Benutzer müsste zuerst eine mit HTML-Code präparierte Media-Datei abspielen und direkt danach den Media Player schließen. Zum Ausführen des Codes in der vom Media Player daraufhin gespeicherten asx-Datei müsste der Angreifer dann noch einen Weg finden, den Benutzer auf eine präparierte Webseite zu locken, um den Code auszuführen. Einen Angriff über eine HTML-Mail hält Microsoft wegen der erforderlichen Benutzerinteraktion für nahezu unmöglich.

Die Patches für die verschiedenen Media Player und das zugehörige Bulletin MS02-032 finden Sie hier bei Microsoft. Weitere Meldungen zu Lücken in Microsoft Produkten finden Sie in der tecHistory. (uba)