Microsoft Security Bulletin MS03-030

Ungeprüfter Puffer in DirectX kann das System gefährden (819696)

Auf dieser Seite

	Zusammenfassung
	Technische Details
	Häufig gestellte Fragen (FAQs)
	Verfügbarkeit des Patches

Zurück zur Übersicht

Zusammenfassung

Wer sollte dieses Bulletin lesen: Benutzer von Microsoft Windows

Auswirkungen der Sicherheitsanfälligkeiten: Ausführen von Code auf einem Benutzersystem durch Angreifer

Bewertung des maximalen Schweregrads: Kritisch

Empfehlung: Benutzer sollten den Patch sofort installieren.

Betroffene Software:

Zum Seitenanfang

Technische Details

Technische Beschreibung:
Nach der Veröffentlichung dieses Bulletins wurde festgestellt, dass ein weiterer Patch für die Unterstützung von Versionen von DirectX erforderlich ist, die von der ursprünglichen Fehlerbehebung nicht berücksichtigt wurden. Das Bulletin wurde aktualisiert und enthält nun auch den neuen Patch sowie die entsprechenden Informationen. Der neue Patch wurde für Benutzer von Windows 98, Windows 98 Second Edition, Windows Millennium Edition oder Windows 2000 entwickelt, die ein Upgrade auf Microsoft DirectX 8.0, 8.0a, 8.1, 8.1a oder 8.1b durchgeführt haben.
DirectX besteht aus einer Sammlung von APIs (Application Programming Interfaces) auf niedriger Ebene, die von Windows-Programmen zur Multimediaunterstützung verwendet wird. Innerhalb von DirectX führt die DirectShow-Technologie clientseitige Audio- und Videoabfrage sowie Audio- und Videobearbeitung und -darstellung durch.

In der Funktion, die von DirectShow zum Überprüfen der Parameter in einer MIDI-Datei (MID-Datei) verwendet wird, liegen zwei Pufferüberläufe mit identischen Auswirkungen vor. Daraus ergibt sich eine Sicherheitsanfälligkeit, weil ein unbefugter Benutzer diese Fehler ausnutzen und Code im Sicherheitskontext des angemeldeten Benutzers ausführen könnte.

Ein Angreifer könnte diese Sicherheitsanfälligkeit ausnutzen, indem er eine besonders gestaltete MIDI-Datei erstellt, die für das Ausnutzen dieser Sicherheitsanfälligkeit konzipiert ist, und diese Datei dann auf einer Webseite oder Netzwerkfreigabe ausführt oder über eine HTML-E-Mail sendet. Falls die Datei auf einer Website oder Netzwerkfreigabe gespeichert werden würde, müsste der Benutzer die besonders gestaltete Datei öffnen. Wenn die Datei in eine Seite eingebettet werden würde, könnte die Sicherheitsanfälligkeit ausgenutzt werden, wenn der Benutzer die Webseite besucht. Im Fall der HTML-E-Mail könnte die Sicherheitsanfälligkeit ausgenutzt werden, wenn ein Benutzer die HTML-E-Mail öffnet oder eine Vorschau anzeigt. Ein erfolgreicher Angriff könnte bewirken, dass entweder DirectShow oder eine Anwendung, die DirectShow verwendet, fehlschlägt oder das Code eines Angreifers auf dem Computer des Benutzers im Sicherheitskontext des Benutzers ausgeführt wird.

Schadensbegrenzende Faktoren:

Bewertung des Schweregrads:

Die oben getroffene Bewertung basiert auf den von der Sicherheitsanfälligkeit betroffenen Systemarten, ihren typischen Bereitstellungsmustern und den möglichen Auswirkungen, die ein Angriff der Sicherheitsanfälligkeit auf sie hat.

Kennung der Sicherheitsanfälligkeit: CAN-2003-0346

Getestete Versionen:
Microsoft hat Microsoft DirectX 9.0a, Microsoft DirectX 8.1b, Microsoft DirectX 8.1a, Microsoft DirectX 8.1, Microsoft DirectX 8.0a, Microsoft DirectX 8.0, Microsoft DirectX 7.0, Microsoft DirectX 7.1 unter Windows Millennium Edition, DirectX 6.1 unter Windows 98 SE, DirectX 5.2 unter Windows 98, Microsoft Windows NT 4.0 mit Installation von Windows Media Player 6.4 und Internet Explorer 6 Service Pack 1, Microsoft Windows NT 4 Terminal Server Edition mit Installation von Windows Media Player 6.4 und Internet Explorer 6 Service Pack 1 getestet, um einzuschätzen, inwiefern diese von der Sicherheitsanfälligkeit betroffen sind. Frühere Versionen werden nicht mehr unterstützt und sind möglicherweise ebenfalls von dieser Sicherheitsanfälligkeit betroffen.

Zum Seitenanfang

Häufig gestellte Fragen (FAQs)

Microsoft hat einen neuen Patch für weitere Direct X-Versionen veröffentlicht. Warum?
Nach der Veröffentlichung dieses Bulletins wurde festgestellt, dass ein weiterer Patch für die Unterstützung von Versionen von DirectX erforderlich ist, die von der ursprünglichen Fehlerbehebung nicht berücksichtigt wurden. Microsoft hat das Bulletin aktualisiert, um Einzelheiten zu diesen zusätzlichen Versionen zur Verfügung zu stellen, die weiter oben unter "Welche Produkte sind von diesem Update betroffen?" aufgelistet werden, und um Downloadadressen für den neuen Patch bereitzustellen (siehe "Verfügbarkeit des Patches").

Ich habe den ursprünglichen Patch bereits installiert. Muss ich den neuen Patch installieren?
Nein. Der ursprüngliche Patch beseitigt auch weiterhin die Sicherheitsanfälligkeit. Der neue Patch fügt zusätzliche Unterstützung für weitere Versionen von DirectX hinzu und verändert den ursprünglichen Patch nicht.

Worin genau besteht diese Sicherheitsanfälligkeit?
Es handelt sich bei dieser Sicherheitsanfälligkeit um einen Pufferüberlauf (Buffer Overrun). Ein Angreifer, der diese Sicherheitsanfälligkeit ausnutzt, könnte im schlimmsten Fall Code seiner Wahl auf dem System des Benutzers ausführen. Der Code des Angreifers würde mit den Rechten des Benutzers verarbeitet: Alle Einschränkungen des Benutzers hinsichtlich Änderungen des Systems gelten auch für den Code des Angreifers. Wenn der Benutzer z. B. nicht berechtigt ist, Dateien auf der Festplatte zu löschen, kann der Code des Angreifers ebenfalls keine Löschvorgänge durchführen. Andererseits kann der Code des Angreifers ebenfalls hohe Berechtigungen nutzen, wenn der Benutzer ein Konto mit hohen Rechten wie das Administratorkonto verwendet. Die Sicherheitsanfälligkeit liegt in der Komponente vor, die für das Analysieren von MIDI-Dateien verantwortlich ist. Diese Funktion ist in einer Komponente von DirectX enthalten, die unter dem Namen DirectShow bekannt ist.

Was ist DirectX?
Microsoft DirectX ist eine Softwarekomponente, die eine Sammlung von APIs enthält, die den Zugriff auf Grafikbeschleunigungschips und Soundkarten sowie andere Typen von Medienhardware ermöglichen. Diese APIs steuern Funktionen auf niedriger Ebene, z. B. die Grafikbeschleunigung, Unterstützung für Eingabegeräte wie Joysticks, Tastaturen und Mäuse sowie die Steuerung von Audiomischung und Audioausgabe. Eine der Technologien, die in DirectX enthalten ist, wird als DirectShow bezeichnet.

Was ist DirectShow?
Die DirectShow-Technologie, die in DirectX enthalten ist, führt clientseitige Audio- und Videoabfrage sowie Audio- und Videobearbeitung und -darstellung durch. Sie unterstützt mehrere gängige Medienformate neben dem betroffenen MIDI-Dateityp, z. B. ASF (Advanced Systems Format), MPEG (Motion Picture Experts Group), AVI (Audio-Video Interleaved), MP3 (MPEG Audio Layer-3) und WAV-Audiodateien.

Was sind MIDI-Dateien?
Eine MIDI-Datei (Musical Instrument Digital Interface) ist ein besonderer Typ von Mediendatei, die vorgibt, wie die Musik produziert wird (z. B. auf einem digitalen Synthesizer). Sie stellt nicht, wie andere Mediendateien, den Audiosound direkt dar. Dies führt zu wesentlich kleineren Dateigrößen als bei anderen Audiodateiformaten.

Sind andere Mediendateiformate von dieser Sicherheitsanfälligkeit betroffen?
Nein. Die Sicherheitsanfälligkeit kann nur auftreten, wenn besonders gestaltete MIDI-Dateien analysiert werden. Andere Mediendateien wie MPEG-, MP3-, WMV- und AVI-Dateien sind von dieser Sicherheitsanfälligkeit nicht betroffen.

Welcher Fehler liegt bei DirectShow vor?
In der Funktion, die von DirectShow zum Überprüfen der Parameter in einer MIDI-Datei (MID-Datei) verwendet wird, liegen zwei Pufferüberläufe mit identischen Auswirkungen vor. Daraus ergibt sich eine Sicherheitsanfälligkeit, weil ein böswilliger Benutzer diesen Fehler ausnutzen und Code im Sicherheitskontext des angemeldeten Benutzers ausführen kann.

Bedeutet die Verwendung von MIDI-Dateien durch Windows Media und andere Technologien, dass ein Problem in Windows Media Player vorliegt?
Nein. Der Fehler stammt nicht aus Windows Media Player. Der Fehler liegt in DirectShow und der Überprüfung der Parameter von MIDI-Dateien durch diese Anwendung. Im Fall von Windows NT 4.0 wurde diese Technologie jedoch entweder mit Windows Media Player 6.4 oder mit Internet Explorer 6 Service Pack 1 ausgeliefert.

Wie würden Angreifer vorgehen, um diese Sicherheitsanfälligkeit auszunutzen?
Ein Angreifer könnte diese Sicherheitsanfälligkeit ausnutzen, indem er eine besonders gestaltete MIDI-Datei erstellt mit dieser dann eine von mehreren möglichen Aktionen durchführt:

Wie könnten Angreifer diese Sicherheitsanfälligkeit ausnutzen?
Das erfolgreiche Ausnutzen dieser Sicherheitsanfälligkeit könnte im schlimmsten Fall einen Angreifer in die Lage setzen, Code seiner Wahl auf dem System des Benutzers auszuführen. Da DirectX im Kontext des Benutzers ausgeführt wird, wird der Code des Angreifers als Benutzercode verarbeitet. Alle Einschränkungen des Benutzers hinsichtlich des Löschens, Hinzufügens oder Bearbeitens von Daten oder Konfigurationsinformationen gelten auch für den Code des Angreifers.

Warum ist Microsoft Windows NT 4.0 nur gefährdet, wenn Windows Media Player 6.4 oder Internet Explorer 6 Service Pack 1 installiert wurde?
Die Datei, die die Sicherheitsanfälligkeit enthält, wird mit Windows NT 4.0 nicht standardmäßig installiert. Die Datei wird jedoch bei der Installation von Windows Media Player 6.4 oder Internet Explorer 6 Service Pack 1 unter Microsoft Windows NT 4.0 installiert.

Ich verwende Internet Explorer mit Windows Server 2003. Verringert dies die Sicherheitsanfälligkeit?
Ja. Internet Explorer mit Windows Server 2003 wird standardmäßig in einem eingeschränkten Modus verwendet, der als verstärkte Sicherheitskonfiguration bezeichnet wird. In dieser Konfiguration verhindert Internet Explorer die automatische Ausnutzung dieser Sicherheitsanfälligkeit durch Outlook Express, ohne dass ein Benutzereingriff erforderlich ist. Dies geschieht, indem Outlook Express so konfiguriert wird, dass eine E-Mail-Nachricht standardmäßig als unformatierter Text gelesen wird.

Was ist die verstärkte Sicherheitskonfiguration von Internet Explorer?
Die verstärkte Sicherheitskonfiguration von Internet Explorer besteht aus einer Gruppe vorkonfigurierter Internet Explorer-Einstellungen, die die Wahrscheinlichkeit verringern, dass ein Benutzer oder Administrator böswillige Webinhalte auf einen Server herunterlädt und dort verwendet. Die verstärkte Sicherheitskonfiguration von Internet Explorer verringert das Risiko, indem zahlreiche Sicherheitseinstellungen geändert werden, u. a. die Einstellungen der Registerkarten Sicherheit und Erweitert unter Internetoptionen.
Wird die verstärkte Sicherheitskonfiguration von Internet Explorer deaktiviert, entfällt der Schutz vor der Ausnutzung dieser Sicherheitslücken. Weitere Informationen zur verstärkten Sicherheitskonfiguration von Internet Explorer finden Sie im Whitepaper "Managing Internet Explorer Enhanced Security Configuration" (englischsprachig), das auf dieser Webseite verfügbar ist.

Gibt es eine Konfiguration von Windows Server 2003, in der die verstärkte Sicherheitskonfiguration von Internet Explorer wahrscheinlich deaktiviert ist?
Ja. Systemadministratoren, die Windows Server 2003 als Terminalserver bereitgestellt haben, werden die verstärkte Sicherheitskonfiguration von Internet Explorer wahrscheinlich deaktivieren, um Benutzern des Terminalservers das Verwenden von Internet Explorer im uneingeschränkten Modus zu ermöglichen.

Wie kann die installierte Version von DirectX ermittelt werden?
Wenn Sie überprüfen möchten, welche Version von DirectX auf dem System installiert ist, müssen Sie den Befehl dxdiag verwenden.

Ich benutze Windows NT 4.0. Wie erkenne ich, ob ich den Patch installieren muss?
Für Windows NT 4.0 sollte der Patch installiert werden, wenn ein Schlüssel HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\ActiveSetup\InstalledComponents\{22d6f312-b0f6-11d0-94ab-0080c74c7e95}\IsInstalled vorhanden ist und den Wert 1 besitzt.

Was bewirkt der Patch?
Der Patch beseitigt die Sicherheitsanfälligkeit, indem sichergestellt wird, dass DirectX Parameter beim Öffnen einer MIDI-Datei einwandfrei überprüft.

Zum Seitenanfang

Verfügbarkeit des Patches

Downloadadresse für diesen Patch:

Hinweis: Zeitgleich mit diesem Security Bulletin wird auch das neue DirectX 9.0b veröffentlicht. Dieses Upgrade enthält die im Bulletin besprochene Fehlerbehebung. DirectX 9.0b kann unter allen Windows-Versionen außer Windows NT 4.0 Server installiert werden und steht auf folgender Webseite zum Download zur Verfügung:

Installationsplattformen:
DirectX 9.0b kann auf Systemen mit folgenden Betriebssystem installiert werden:

Der Patch für DirectX 9.0a kann auf Systemen mit folgenden Betriebssystem installiert werden:

Der Patch für DirectX 8.1 kann auf Systemen mit folgenden Betriebssystem installiert werden:

Der Patch für Direct X8.0a, DirectX 8.1, DirectX 8.1a und DirectX 8.1b kann auf folgenden Systemen installiert werden:

Der Patch für DirectX 7.0 kann auf Systemen mit folgenden Betriebssystem installiert werden:

Der Patch für Windows NT 4.0 Server kann auf Systemen mit folgenden Betriebssystem installiert werden:

Aufnahme in zukünftige Service Packs:
Die Fehlerbehebung für dieses Problem ist im Windows 2000 Service Pack 4 enthalten.

Hinweis: Die im Windows 2000 Service Pack 4 enthaltene Datei Quartz.dll (Versionsnummer 6.1.9.728) umfasst diese Fehlerbehebung bereits. Es handelt sich um die gleiche Datei, die auch im Sicherheitspatch enthalten ist (Versionsnummer 6.1.9.729).

Zudem wird die Fehlerbehebung in folgende Service Packs aufgenommen:

Neustart erforderlich: Ja

Deinstallation des Patches möglich:

Frühere Patches: Keine

Überprüfung der Patchinstallation:

Um die einzelnen Dateien anhand einer Dateiliste zu überprüfen, verwenden Sie die Registerkarte DirectX-Dateien mit Hilfe des Befehlszeilen-Dienstprogramms dxdiag.exe.

Vorsichtsmaßnahmen: Keine

Lokalisierung:
Lokalisierte Versionen der Patches sind unter den im Abschnitt "Verfügbarkeit des Patches" genannten Adressen verfügbar.

Weitere Sicherheitspatches
Patches für andere Sicherheitsrisiken sind unter den folgenden Adressen erhältlich:

Sonstige Informationen

Danksagung:
Microsoft dankt dem Unternehmen eEye Digital Security, dass es dieses Problem an uns gemeldet und zum Schutz unserer Kunden mit uns zusammengearbeitet hat.

Support:

Sicherheitsressourcen:
Die Website Microsoft TechNet-Sicherheit bietet zusätzliche Informationen zur Sicherheit der Microsoft-Produkte.

Verzichtserklärung:
Die Informationen der Microsoft Knowledge Base werden wie besehen und ohne jede Gewährleistung bereitgestellt. Microsoft schließt alle anderen Garantien, gleich ob ausdrücklich oder konkludent, einschließlich der Garantien der Handelsüblichkeit oder Eignung für einen bestimmten Zweck aus. In keinem Fall kann Microsoft Corporation und/oder deren jeweilige Lieferanten haftbar gemacht werden für Schäden irgendeiner Art, einschließlich direkter, indirekter, zufällig entstandener Schäden, Folgeschäden, Folgen entgangenen Gewinns oder spezieller Schäden, selbst dann nicht, wenn Microsoft Corporation und/oder deren jeweilige Lieferanten auf die mögliche Entstehung dieser Schäden hingewiesen wurde. Weil in einigen Staaten/Rechtsordnungen der Ausschluss oder die Beschränkung einer Haftung für zufällig entstandene Schäden oder Folgeschäden nicht gestattet ist, gilt die obige Einschränkung eventuell nicht für sie.

Revisionen:

Zum Seitenanfang