JPEG-beelden laten aanvaller binnen

Kwetsbaar dll-bestand kan terugkomen

15 september 2004 | Jamie Biesemans Microsoft waarschuwt voor een kwetsbaarheid waardoor de verkeerde beelden bekijken een pc ernstig schade kan toebrengen. Kern van het probleem is een fout in de software die JPEG's op het scherm tovert. Door het lek kunnen gewiekste hackers hun eigen code binnensmokkelen.

Het JPEG-formaat is een van de meest gebruikte bestandstypes om beelden op het internet te verpakken. Dat maakt de potentiële impact van de buffer overrun-kwetsbaarheid groot. Bovendien wordt de lekkende versie van de gdiplus.dll niet alleen door Microsoft maar ook door andere softwarebedrijven in hun producten gebruikt. De waarschuwing heeft dus niet voor niets het etiket 'kritisch' meegekregen.

Microsoft heeft een tool beschikbaar gesteld waarmee pc's kunnen worden nagekeken. Het minimalistische programma scant snel een systeem en waarschuwt als er mogelijk kwetsbare software aanwezig is. De patch om het probleem op te lossen is verkrijgbaar via WindowsUpdate of via de links in het veiligheidsbulletin van Microsoft.

De lijst van getroffen software is vrij lang en omvat Windows Server 2003, XP 64-bit Edition en XP, en een lange opsomming van applicatiesoftware. Onder meer Microsoft Internet Explorer 6.0, Office XP, Office 2003, Project 2002, Visio 2002, Visual Studio .Net 2002 en 2003, het .Net Framework 1.0, Picture It!, Digital Image 9 en Producer for PowerPoint zijn kwetsbaar. Zoals gezegd kan daarnaast ook software van derden het lekkende onderdeel installeren. Dat betekent dat ook gebruikers van oudere Windows-versies er goed aan doen hun systeem na te kijken.

Netelig is dat zelfs na het installeren van alle patches een pc kwetsbaar blijft, geeft Microsoft toe. Het kan immers dat na het installeren van software van derden de oudere, kwetsbare versie van gdiplus.dll opnieuw wordt aangebracht. De kans hierop lijkt evenwel klein, stelt MS, vooral op systemen met Windows XP of Server 2003. Lees meer artikels over : gdi, jpeg, lek, windows

bron: ZDNet