schlex

Die Spezialisten des chinesischen Sicherheitsdienstleisters Venustech haben drei Advisorys zu vier Schwachstellen in Windows veröffentlicht. Angreifer können mit manipulierten Dateien, Web-Seiten und Bildern einen Rechner zum Absturz bringen oder Code einschleusen und ausführen. Dazu sind auch bereits Proof-of-Concept-Exploits verfügbar. Der Zeitpunkt der Veröffentlichung ist denkbar ungünstig, da auch Administratoren und Sicherheitsexperten in der Regel über die Weihnachtsfeiertage Urlaub haben.

Ein Fehler liegt in der Datei winhlp32.exe, die beim Parsen von präparierten .hlp-Dateien einen Buffer Overflow erzeugt. Betroffen sind Windows NT, 2000, Server 2003 und XP, auch mit Service Pack 2. Ein erster Test des dazu veröffentlichten Exploits brach aber mit der Fehlermeldung ab, dass die Sprache nicht unterstützt würde. Zwei weitere Schwachstellen finden sich in der Verarbeitung von ANI-Dateien (Windows Animated Cursors). Das Öffnen solcher in Web-Seiten oder E-Mails eingebetteten Dateien führt zum Absturz des Systems. Windows XP mit Service Pack 2 ist nicht betroffen. Die letzte neue Lücke basiert auf einem Buffer Overflow in der LoadImage-API der USER32-Bibliothek, der sich mit bestimmten BMP-, CUR-, ICO- und ANI-Dateien provozieren lässt. Laut Venustech ist es damit möglich, ein Windows-System zu kompromittieren.

Venustech hat zwar die Advisorys veröffentlicht, verlinkt aber auf Demo-Exploits, die die Hackergruppe xfocus entwickelt hat. xfocus hat in der Vergangenheit unter anderem den Exploit für die Lücke im RPC-Dienst geschrieben. Der kurz darauf aufgetauchte Wurm Lovsan/Blaster beruhte auf diesem Exploit und infizierte weltweit PCs. Patches stehen nicht zur Verfügung. Abhilfe schafft der Wechsel auf Windows XP mit Service Pack 2. Zwar ist auch dort die Lücke in win32hlp.exe enthalten, aufgrund der Datenausführungsverhinderung sollte sie sich aber nur schwer ausnutzen lassen. Diese Schutzfunktion ist auch auf Systemen wirksam, deren Prozessor keine NX-Funktion (Non-Executable) unterstützt.