eEye: súlyos hiba a Windows Media Player-ben

Microsoft, Windows

Az eEye biztonságtechnikai cég sajtóbejelentése szerint súlyos biztonsági hibát találtak a Microsoft Windows Media Player-ben. A cég szerint a hibát kihasználva akár teljes irányítást is lehet szerezni az áldozat gépe felett.

A Windows Media Player-ben egy ellenőrizetlen puffer okozza a gondot. A hibát egy speciálisan formázott bitmap (BMP) file-lal lehet kihasználni. A hiba sikeres kihasználása esetén tetszőleges parancsokat lehet végrehajtani a támadott rendszeren annak a felhasználónak a nevében, aki a Media Player-t futtatja.

Az eEye az a cég, amelynek honlapja szerint további olyan hibák is a birtokában vannak, amelyek távoli kódfuttatásra adhatnak alkalmat Windows operációs rendszereken. Köztük olyan is, amelyet jeleztek a gyártónak, de 226 nappal a jelzés után sem érkezett rá érdemi válasz...

Az eEye bejelentése itt. További cikk itt.

Frissítés: A hibára javítás az MS által tegnap kiadott security bulletin-ben.

( Misi | 2006. 02. 15., sze – 09:51 )

Nem vagyok képben ezekkel a media player dolgokkal, de hogy lehet rávenni a win-t, hogy bmp-t a media playerrel jelenítsen meg?
Mármint nyilvány egy weblap vagy egyéb "külső" dolog, szóval nem emberi beavatkozás útján.

Misi

Tipp: Olyan kiterjesztést adsz a BMP-nek, amit valószínűleg a felhasználók a Media Player-hez asszociálnak (file association - mi ez magyarul?!). Pl.: WMV.
A fájl fejléc alapján már talán felismeri a Media Player, hogy ez BMP és nem videó, így valszeg aszerint fogja kezelni.

( uid_228 | 2006. 02. 15., sze – 09:56 )

Hogyhogy az eEye ezeket még nem adta el a spammermaffiának és nyaral már hónapok óta a Bahamákon? :)

Eladták, csak olyan feltételekkel, hogy egy idő után (fél év, egy év :) nyilvánosságra hozzák, hisz ez nekik plussz reklám. A legtöbb IT Security cég úgy működik, hogy az újonan felfedezett hibákat első körben csak az előfizetőik részére hozzák nyilvánosságra, majd jó sok idő elteltével publikálják a nagyközönségnek. Jó példa erre a régebbi Immunity Mac OS X advistory is.

Nem kell annak lenniük. Vannak akik olyan termékeket fejlesztenek, amelyek jól ismert hibákat keresnek. A tesztelés eredményeként pedig egy rakás ilyen hibát találnak.
Van olyan cég, amelyik termékében biztonsági szolgáltatást, akár hardvert nyújt. Mivel azt szeretnék, hogy ügyfeleik a lehető leghamarabb védve legyenek az ilyen hibákkal szemben, akár meg is veszik az 0day exploitokat.

Lásd: 3com Zero Day Initiative

--
trey @ gépház

de te most az elofizetokrol beszelsz akkor, nem?

szamomra az volt a furcsa, hogy van egy ilyen elofizetoi kor, ami akarkikbol allhat, es azok kapjak meg legeloszor a cuccot. Persze nyilvan nem mukodhet non-profit modon, de ezzel gyakorlatilag az osszes illegalis tarsasag egy szintre kerul a technologiai lehetosegekben a hivatalos cegekkel, onnantol mar csak azon megy a verseny gondolom, hogy elobb irnak programot, ami kihasznalja a rest, mint javitjak a szoftvert, es terjesztik el a javitast. Nem tunik tulzottan pozitivnak ez a javitasi modell.

jogi oldalara lennek kivancsi a dolognak. tfh talalok egy vilagraszolo bugot, minden win98nal ujabb windozban remote root (vagy hasonlo kaliberu) s en azon nyomban vilagga kurtolom (sot meg mukodo exploitot is mellekelek), nem adom el senkinek, nem tartom magamban, s vegul nem is szolok elore a szoftver oriasnak. akkor ugye tobb millio gepet igen komoly veszelynek teszek ki; beszolhat-e nekem valami szervezet, vagy maga az ms, hogy hogyan mertem en ezt megtenni, s jol beperel? van valamilyen jogalap erre?

ps. win bug helyett irhattam volna cicso vagy 3com routereket is.

Az elég széles körben elfogadott gyakorlat szerint etikus dolog először a software fejlesztőjét értesíteni, időt hagyva neki a javításra. Fontos, hogy ezt az időt nem a software gyártója szabja meg, hanem a bug megtalálója. Többnyire egy hét..tíz nap szokott lenni az az idő, ami már elfogadott. Persze a gyártó megkérheti a hibajelentőt, hogy hagyjon több időt, mert bonyolult a hiba kijavítása, de ezt nem kötelező figyelembe venni.

( wladek1 | 2006. 02. 15., sze – 10:07 )

Miért nem vagyok én ezen meglepve?
Ez a helyzet:
-figyelmeztetés megy
-1. verzió: normális fejlesztőkhöz, akik megpróbálják megoldani a práblemet
-2. verzió: Ki a @-t érdekli? Mi a @-nak nézeget speciálisan formázott bitmap-et a médijapléjörrel, amikor nem is akart?

( unranked | 2006. 02. 15., sze – 17:04 )

Hm...ki az aki még mindig Windows Media Player-t használ Windows-on ? Ezer és ezer, jobbnál jobb lejátszó van a világon.
És ki az aki Windows-t használ ? :D (én csak néha, pl: suliban)
---
2.6.15-gentoo-r1
"If it moves, compile it"

Nem válaszolok röviden, mert megsértődnél. :-) Magyarországon ezer fős cégek is vannak, ahol a céges média anyagok megjelenítésére kötelezően a WMP használatos. És nyilvánvalóan a telepítés minden formája tilos.

Majd ha kikerülsz a suliból és elkezdesz dolgozni, megtudod, hányan használják, de ne kis számot gondolj.

btw. Valaki szóljon a Wine-seknek, hogy ideje átnézni a kódjukat... :-))

( LGee | 2006. 02. 15., sze – 23:34 )

> A cég szerint a hibát kihasználva akár teljes irányítást is lehet szerezni az áldozat gépe felett.

Ez tok jol hangzik! Vegre nem kell majd vnc-vel meg remote desktop-pal tokolni, eleg egy sima wmplayer ;-))