Kritische Lücke: Code-Einspeisung in Movie Player Pro

SicherheitSicherheitsmanagement

Eine Lücke im Mediaplayer »Movie Player Pro« erlaubt Angreifern beliebigen Schadcode über Active-X einzuspeisen. Dies funktioniert bereits beim Besuch einer präparierten Website.

Die Lücke in Movie Player Pro ist laut Sicherheitsanbieter Secunia hochkritisch. Version 6.8.0.0 des Movie Player Pro erlaube Fernsteuerung des Rechners und das Einschleusen von Schadcode. Andere Versionen könnten unter Umständen ebenfalls betroffen sein, denn ein Active-X-Plugin  macht die Schwachstelle erst möglich.

Als Grund gibt Secunia die Datei »MoviePlayer.ocx« an, denn darin würde der Parameter »strFontName« vor seiner Übergabe an »DrawText()« nicht geprüft. Der mögliche resultierende Stack-Overflow durch zu große Parameterlisten erlaube das Einschleusen beliebigen Codes. Gemeldet habe den Fehler der Secunia-Partner »Shinnai«.

Ein Patch liegt derzeit noch nicht vor, Secunia empfiehlt daher das Setzen des Kill-Bits der Applikation.

Aufatmen für die meisten PC-Nutzer: Es handelt sich nicht um Microsofts MediaPlayer, sondern nur um den weniger verbreiteten MoviePlayer Pro von Viscom Software.  (Manfred Kohlen)

Anklicken um die Biografie des Autors zu lesen  Anklicken um die Biografie des Autors zu verbergen