5802

Windows 2000, ME: Web-Ansicht führt Scripts aus

27.04.2005 | 11:09 Uhr |

Dem Windows Explorer von 2000 und ME lassen sich über manipulierte Office-Dateien Scriptbefehle unterschieben. Die Web-Ansicht des Explorers führt das eingeschmuggelte Script ungefragt aus.

Bereits letzte Woche hat die Sicherheitsexperten von Greymagic Software ein Bericht über eine Sicherheitsproblem von Windows 2000 veröffentlicht: Der Web-Ansicht im Windows Explorer lässt sich über eine manipulierte Datei Script-Code unterschieben, die der Explorer ausführt. Die Datei muss dazu nur markiert sein, andere Benutzer-Aktivitäten sind gar nicht nötig.

Verantwortlich ist die Bibliothek WEBVW.DLL, die Inhalte in der Dateibeschreibung für die HTML-Ansicht im Explorer einliest. Unter anderem kann der Explorer eine Mail-Adresse im Feld "Autor" bei Office-Dokumenten als klickbaren Mail-Link auf der linken Seite im Explorer-Fenster darstellen. Das Autoren-Feld kann aber wegen eines Parser-Fehlers in der Bibliothek WEBVW.DLL auch noch auskommentierten Script-Code enthalten, auf den der Explorer anspricht. Soweit das Advisory von Greymagic Software.

0 Kommentare zu diesem Artikel
5802