Microsoft Windows Plus! 98 sowie Windows Me besitzen ein Feature zur Verschlüsselung von komprimierten Dateien. Durch einen Implementationsfehler werden die Passwörter in Klartext abgelegt.

Betroffene Systeme

• Microsoft Plus! 98
• Microsoft Windows Me

Typ der Verwundbarkeit
design flaw

Beschreibung
Microsoft Windows Me sowie Windows 98/98 Second Edition mit dem Plus! 98 Zusatz besitzen das Feature "Compressed Folders" welches zur Komprimierung und Verschlüsselung von Daten eingesetzt werden kann. Durch einen Implementationsfehler werden sensitive Informationen, darunter die Klartextpasswörter für die Verschlüsselung, in der Datei %windir%\dynazip.log abgelegt.

Gefahrenpotential
hoch (falls sensitive Daten mittels der Option "Compressed Folders" geschützt werden sollten)

Gegenmaßnahmen
Microsoft stellt einen Patch für die us-amerikanische Version von Windows 98 und Windows Me zur Verfügung.

• Microsoft Plus! 98
  http://download.microsoft.com/download/win98/update/14715/w98/en-us/252694usa8.exe
• Microsoft Windows Me
  http://download.microsoft.com/download/winme/update/14715/winme/en-us/252694usam.exe

Bemerkung
Die Verschlüsselung von sensitiven Daten sollte nicht mit dem Feature "Compressed Folders" durchgeführt werden. Alternativprodukte wie z.B. PGP/GnuPG sind zu bevorzugen.

Hinweis
Die in diesem Text enthaltene Information wurde für die Mitglieder der Universität Stuttgart recherchiert und zusammengestellt. Die Universität Stuttgart übernimmt keinerlei Haftung für die Inhalte. Dieser Artikel darf ausschließlich in unveränderter Form und nur zusammen mit diesem Hinweis sowie dem folgenden Copyrightverweis veröffentlicht werden. Eine Veröffentlichung unter diesen Bedingungen an anderer Stelle ist ausdrücklich gestattet.

Copyright © 2022 RUS-CERT, Universität Stuttgart, https://cert.uni-stuttgart.de/