Ein Sammelpatch für den Windows Media Player beseitigt unter anderem drei neue Schwachstellen. Seit dem 26.07.2002 stellt Microsoft überarbeitete Patches zur Verfügung, da die zuvor veröffentlichten Sammelpatches nicht vollständig waren.

Betroffene Systeme

• Microsoft Windows Media Player 6.4
• Microsoft Windows Media Player 7.1
• Microsoft Windows Media Player für Windows XP

Einfallstor

1. Arglistige Windows-Multimedia-Datei, welche z.B. über eine Webseite, E-Mail oder Newsgruppenartikel verbreitet/betrachtet wird
2. lokale Anmeldung am System und Aufruf des Windows Media Players
3. Arglistige Windows-Multimedia-Datei und HTML-Dokument, welche z.B. über eine Webseite, E-Mail oder Newsgruppenartikel verbreitet/betrachtet werden

Auswirkung

1. Ausführung beliebigen Programmcodes mit den Privilegien des das Media-File betrachtenden Benutzers
   (remote user compromise)
2. lokale Privilegienerweiterung, d.h. lokal am System angemeldete Benutzer können Programmcode mit SYSTEM-Privilegien ausführen
   (local system compromise)
3. Ausführung beliebigen Programmcodes mit den Privilegien des das Media-File betrachtenden Benutzers
   (remote user compromise)

Typ der Verwundbarkeit

1. Implementierungsfehler im Copyright Management für Dateien die das Digital Rights Management (DRM) Version 1 verwenden
2. fehlerhafte Verarbeitung von Anfragen an nicht existierende Geräte
3. design flaw

Gefahrenpotential

1. hoch
2. hoch
3. mittel bis hoch

Beschreibung

1. Durch eine Schwachstelle im Copyright Management des Windows Media Players wird der Pfad zu im IE-Cache zwischengespeicherten Dateien möglicherweise preisgegeben. Im IE-Cache werden Dateien zwischengespeichert und sind normalerweise durch nicht trivial vorhersagbare Pfade/Namen vor direktem Aufruf geschützt. Da der Windows Media Player jedoch den Pfad zu zwischengespeicherten Dateien bei speziell formulierten Lizenz-Anfragen (bei über WM DRM Version 1.0 geschützten Windows Media Files) preisgibt, kann zwischengespeicherter Programmcode durch direkten Aufruf ausgeführt werden. Durch diese Schwachstelle kann mittels einer arglistigen Webseite, E-Mail (mit Attachment) bzw. Newsgruppenartikel beim Betrachten (ohne vorheriges Speichern) der Datei beliebiger Programmcode ausgeführt werden. Sollte der aktuelle Sammelpatch für den Internet Explorer nicht installiert sein, so kann beim Betrachten einer HTML-E-Mail bereits das Windows Media File ohne Aktion des Benutzers ausgeführt werden, und über die beschriebene Schwachstelle beliebiger Programmcode ausgeführt werden.

   Die Schwachstelle tritt nicht auf, wenn das zu Betrachtende Windows Media File bereits lokal gespeichert wurde (also nicht im IE-Cache zwischengespeichert wird).

2. Durch eine Schwachstelle im Windows Media Device Manager WMDM-Dienst des Windows Media Player 7.1 können lokal angemeldete Benutzer beliebigen Programmcode mit SYSTEM-Privilegien ausführen. Nach Angaben von Microsoft tritt diese Schwachstelle nur bei Windows-2000-Systemen mit dem Windows Media Players 7.1 auf. Sie kann jedoch nicht bei Terminal-Verbindungen ausgenutzt werden. Der WMDM-Dienst ermöglicht dem Media Player den Transfer von Dateien auf mobile Abspielgeräte (Copy to CD or Device-Feature). Der WMDM-Dienst sammelt die notwendigen Informationen über angeschlossene portable Geräte, auf die normale Benutzer (d.h. Benutzer die nicht über Administrator- bzw. Power-User-Privilegien verfügen) ansonsten keinen Zugriff hätten.
3. Der Media Player speichert beim Beenden Informationen über zuletzt abgespielte Dateien in einer XML-basierten Windows Media Active Playlist. Da diese Playlist auch Scriptcode beinhalten kann und deren Ort (im Dateisystem) bekannt ist, kann mittels arglistigen Webseiten, die eine Multimedia-Datei sowie ein HTML-Dokument anbietet, beliebiger Scriptcode mit den Privilegien des lokalen Benutzers ausgeführt werden. Da der Scriptcode erst aufgerufen werden kann, nachdem die Multimedia-Datei betrachtet und der Media Player geschlossen wurde (d.h. die Playlist bereits gespeichert ist), wird der Angriff erschwert.

Gegenmaßnahmen
Microsoft stellt seit dem 26.07.2002 überarbeitete Patches zur Verfügung, da die zuvor veröffentlichten Sammelpatches nicht vollständig waren (insbesondere wurden die in dem Microsoft Security Bulletin MS01-056 beschriebenen Schwachstellen nicht beseitigt).

• Microsoft Windows Media Player 6.4:
  http://download.microsoft.com/download/winmediaplayer/Update/320920/W98NT42KMe/EN-US/wm320920_64.exe
• Microsoft Windows Media Player 7.1:
  http://download.microsoft.com/download/winmediaplayer/Update/320920/W982KMe/EN-US/wm320920_71.exe
• Microsoft Windows Media Player für Windows XP:
  http://download.microsoft.com/download/winmediaplayer/Update/320920/WXP/EN-US/wm320920_8.exe

Vulnerability ID

• CAN-2002-0372 Cache Patch Disclosure via Windows Media Player
• CAN-2002-0372 Privilege Elevation through Windows Media Device Manager Service
• CAN-2002-0615 Media Playback Script Invocation

Weitere Information zu diesem Thema

• Microsoft Security Bulletin MS02-032 26 June 2002 Cumulative Patch for Windows Media Player (Q320920)

Revisionen dieser Meldung

• V.1.0 (2002-06-28)
• V.2.0 (2002-07-26) Seit dem 26.07.2002 stellt Microsoft überarbeitete Patches zur Verfügung, da die zuerst verfügbaren Sammelpatches die in der RUS-CERT-Meldung #583 beschriebenen Schwachstellen nicht beseitigten.

Hinweis
Die in diesem Text enthaltene Information wurde für die Mitglieder der Universität Stuttgart recherchiert und zusammengestellt. Die Universität Stuttgart übernimmt keinerlei Haftung für die Inhalte. Dieser Artikel darf ausschließlich in unveränderter Form und nur zusammen mit diesem Hinweis sowie dem folgenden Copyrightverweis veröffentlicht werden. Eine Veröffentlichung unter diesen Bedingungen an anderer Stelle ist ausdrücklich gestattet.

Copyright © 2022 RUS-CERT, Universität Stuttgart, https://cert.uni-stuttgart.de/