Windows Media Player kaatuu vaaralliseen tiedostoon
Cert-Fi ei kertonut varsinaisista hyökkäyksistä. Mutta esimerkkikoodi aukon hyödyntämiseksi on olemassa.
28.12.2008 14:29 Windows Media Playerin korjaamaton haavoittuvuus ehti vielä sävyttämään Microsoftin tietoturvan suhteen vilkasta loppuvuotta.
Tämän ylivuotohaavoittuvuuden hyväksikäyttäminen vaatii käyttäjän omaa virhettä. Hänen tulee avata hyökkääjän tekemä wav-, snd- tai midi-tiedosto saastuttaakseen koneensa, Cert-Fi kertoi sunnuntaina.
Saastuminen voi aiheuttaa mediasoittimen kaatumisen tai sitten hyökkääjä voi ajaa koneessa omaa haitallista koodiaan.
Microsoft ei ole vielä kirjoittanut haavoittuvuudesta. Mutta yhtiön luokituskäytännön mukaan aukko olisi kriittinen vasta, jos sitä voisi hyödyntää ilman käyttäjän vuorovaikutusta.
Media Player -aukkoon on SecurityFocusin mukaan julkaistu esimerkkikoodi. Mitään teknistä rajoituskeinoa ei ole olemassa, eikä myöskään korjaavaa ohjelmistopäivitystä. Haavoittuvia ovat Windows Media Player 9, 10 ja 11.
Äskettäin Microsoft varoitti SQL Server -ohjelmiston paikkaamattomasta haavoittuvuudesta. Aiemmin loppuvuonna yhtiö joutui puuttumaan muun muassa vakavaan Internet Explorerin haavoittuvuuteen.
Tuomas Linnake
tuomas.linnake@digitoday.fi
Teksti on lisensoitu Creative Commons Nimeä-Ei muutoksia-Epäkaupallinen -lisenssillä.
- Digitodayn tuoreimmat uutiset.
- 25.5. Robottikäsivarsi hinasi Dragonin asemalle
- 25.5. Googlen Android-kauppa sai uusia rahastuskeinoja
- 25.5. Zuckerberg unohti sulhasen ohjeen - antoi 20 000 euron vihkisormuksen
- 25.5. Diablo III:n julkaisija hekumoi myyntiä ja pahoittelee bugeja
- 25.5. Lumialla voi katsella videoklippejä
- 25.5. Applen Cook kieltäytyy optioiden osingoista
- 25.5. ZTE toimittaa suomalaisella 3d-tekniikalla tehtyjä Android-puhelimia
- 25.5. Tämä käkikello muni Pebblen Kickstarter- pesään
- 25.5. Facebook Camera ottaa ja jakaa kuvia iPhonessa
- 24.5. IPhoneen uusi alihankkija
- 24.5. IBM pitää iPhonen Siriä tietoturvariskinä
- 24.5. Yle siirtää seuraavaksi Pasilan teräväpiirtoon
- 24.5. Nokia luopuu isosta massatapahtumasta
- 24.5. Huhu: Symbianiin ei enää päivityksiä
- 24.5. Blackberryn joukot harvenevat
- 24.5. Adoben flash saa saattohoitoa Windows 8:ssa
- 24.5. HP irtisanoo ja palaa taulutietokoneisiin
- 24.5. Motorola Mobilityn johdossa on nyt myyntimies
- Uusimmat
- 48h luetuimmat kaikista uutisista.
- 24.5. Huhu: Symbianiin ei enää päivityksiä
- 25.5. Zuckerberg unohti sulhasen ohjeen - antoi 20 000 euron vihkisormuksen
- 25.5. Lumialla voi katsella videoklippejä
- 24.5. IBM pitää iPhonen Siriä tietoturvariskinä
- 24.5. HP irtisanoo ja palaa taulutietokoneisiin
- 25.5. Googlen Android-kauppa sai uusia rahastuskeinoja
- 24.5. Nokia luopuu isosta massatapahtumasta
- 24.5. IPhoneen uusi alihankkija
- 25.5. ZTE toimittaa suomalaisella 3d-tekniikalla tehtyjä Android-puhelimia
- 24.5. Adoben flash saa saattohoitoa Windows 8:ssa
- Luetuimmat
- 48h suositelluimmat kaikista uutisista.
- Suositelluimmat
- 48h kommentoiduimmat kaikista uutisista.
- 24.5. Huhu: Symbianiin ei enää päivityksiä
- 25.5. Lumialla voi katsella videoklippejä
- 24.5. IBM pitää iPhonen Siriä tietoturvariskinä
- 25.5. ZTE toimittaa suomalaisella 3d-tekniikalla tehtyjä Android-puhelimia
- 25.5. Applen Cook kieltäytyy optioiden osingoista
- 24.5. IPhoneen uusi alihankkija
- 24.5. Nokia luopuu isosta massatapahtumasta
- 24.5. HP irtisanoo ja palaa taulutietokoneisiin
- 24.5. Adoben flash saa saattohoitoa Windows 8:ssa
- 25.5. Zuckerberg unohti sulhasen ohjeen - antoi 20 000 euron vihkisormuksen
- Kommentoiduimmat
Uutisviikko
Mitä viikolla on tapahtunut, mikä puhuttanut eniten? Koko viikon uutiset.
Kevyt ja nopea
Oletko jo tutustunut m.digitoday.fi-mobiilisivustoon?
Uusimmat uutiset
- IBM pitää iPhonen Siriä tietoturvariskinä 15:40
- Adoben flash saa saattohoitoa Windows 8:ssa 09:17
- Googlen Larry Page: Facebook pitää käyttäjiä panttivankeina 07:00
- Anonymous löysi reitin jenkkiministeriön palvelimelle 22:24
- ”Apple ei anna kehittää virustorjuntaa iPhoneen” 16:55
- Uutuustuotteen lupaus verkkopelaajille: ei enää ärsyttäviä salasanoja 13:55
- Mobiilikonnat entistä ovelampia: Esimerkkinä uusi Angry Birds 14:24
- Äärijuutalaisten nettikokous täyttää kaksi stadionia 07:00
- Lisää
Poiminnat
Digiyesterday
Kolme vuotta sitten
Puolustusvoimista kaavaillaan Suomen tietoturvanyrkkiä
27.05.2009 Puolustusvoimiin aiotaan perustaa koko valtionhallinnon kattava tietoturvayksikkö, joka varautuisi sekä sotilaallisiin että siviilimaailman tietoturvauhkiin. Keskus myös koordinoisi vastatoimia.
Taloussanomat
- Asuntopula ja 24 600 tyhjää asuntoa, mikä kaupunki? 06:01
- Suomikin oli hukkua liian vahvaan valuuttaan 06:09
- Yritysguru: Facebook tappaa Piilaakson 10:17
- Muhkean muovinen Nissan Juke 06:05
- Facebookissa vihainen vastaanotto – IMF-johtaja pehmensi Kreikka-lausuntojaan 09:18
- Yllätys? Aurinkohan säteilee täällä Saksan malliin 06:09
- Ainakin 2000 saa potkut RIMiltä 09:44
- Jos Kreikka lähtee, Saksa kärsii 11:08
- Suomi löysi taas Nokian älypuhelimet 06:01
- Autonvuokrauksessa hurjat eurohintaerot 06:09
- » Taloussanomat.fi
Kommentit (12)
Kuvittelitko hyötyväsi haavoittuvuudesta kauemmankin aikaa, ennen kuin se vuotaa julkisuuteen nulikka?
Miten tämä poikkeaa muista haavoista joissa vaaditaan esim. käyttäjän vierailevan sivustolla jossa tarjotaan selaimen reikää hyödyntävää koodia?
Kyllä on tietoturva rempallaan tuossakin firmassa. Kriittinen vika löytyy AINA jos joku ohjelma kaatuu virheeseen. Ei tälläisiä pidä jättää käyttäjän arvottavaksi että uskaltaako avata vai ei.
Vanha tuttu winamp pro musiikkia varten ja VLC kaikkeen muuhun.
Windowsin aitouden tarkastussysteemi. Liekö tekee muutakin Mediaplayerin yhteydessä, kommenteista päätellen.
Mediaplayerin käyttöoikeussopimuksessa (EULA) muuten on tietääkseni kohta, joka oikeuttaa MS:n tuhoamaan käyttäjän koneelta sellaiset mediatiedostot, jotka eivät ole MP:llä toistettavissa.
Vähän sama kuin jos Valio saisi tulla heittämään jääkapistasi Arlan jogurtit roskiin käyttäessäsi Valion jääkaappia (tässä utopiassa Valio valmistaa jääkaappeja).