Beveiligingsfout in Media Player 7

De Bulgaarse veiligheidsexpert, George Guninski, heeft wederom een nieuwe bug ontdekt. Media Player 7 heeft een kever aan deze bugjager moeten afstaan. De nu ontdekte bug maakt het mogelijk dat makers van websites de gegevens op de computer van een langs surfende bezoeker te lezen. Op deze manier kunnen ook programma's uitgevoerd worden. Denk hierbij aan bijvoorbeeld een ftp-client die een mooie Trojaan binnenhaalt. Het probleem zit in de ActiveX:

There is a security vulnerability in Windows Media Player 7 exploitable thru IE which allows reading local files which in turn allows executing arbitratrary programs.
This may lead to taking full control over user's computer.

Details:
The problem is the WMP ActiveX Control which allows launching javascript URLs in arbitrary already open frames. This allows taking over the frames's DOM. Examine the code for more info.

Zijn oplossing is even simpel als doeltreffend: schakel Active Scripting uit. Voor meer uitleg, en voorbeelden mag je naar de site van de heer Georgi Guninski fietsen.
Baal^ wees ons op dit nieuwsitem, dank daarvoor.

Reacties (22)

Aaargh! 5 januari 2001 15:53

Ach, zolang je maar niet als root draait kan je niet echt heel erg veel stukmaken ... oh , wacht... windows

tweakerbee @Aaargh! • 5 januari 2001 19:43

NT/2000

Kun je ook gewoon netjes instellen hoor...

mth @Aaargh! • 6 januari 2001 02:38

Wat is erger: dat ik het OS opnieuw moet installeren of dat ik mijn documenten, mail en sources kwijt ben? Voor mij (en ik denk voor de meeste mensen) is dat tweede een stuk irritanter. En om bij die files te kunnen heeft een virus/trojan/exploit helemaal geen root/administrator rechten nodig.

Verwijderd 6 januari 2001 02:13

De titel lijkt me eigenlijk niet te kloppen. De bug werkt ook met mediaplayer 6.4.

De bug werkt met activeX, dus gewoon een activeX bug ! In principe is het dus een bug in InternetExplorer. Met Netscape, opera, mozilla, etc. werkt het niet.

Player 7 exploitable thru IE

De oplossing is ook: "schakel active scripting uit", waar we nog aan toe kunnen voegen: "draai geen internet explorer."

Oftwel: Beveiligingsfout in Internet Explorer

Dus ook in windows, want IE is daar een onderdeel van. Leve de integratie zullen we maar zeggen

Tja, ik heb nergens last van met konqueror en netscape.

T.T. 5 januari 2001 18:58

Helemaal niet zo handig om active scripting uit te schakelen... iemand al gedaan?
Mijn tweakers pagina ziet er helemaal verkloot uit... moet het dus wel aan laten staan

BikkelZ @T.T. • 5 januari 2001 20:33

Netscape, Opera en Mozilla laten deze pagina nog steeds goed zien zonder Active Scripting hoor

arjenk|IA @T.T. • 5 januari 2001 22:16

ActiveX is niet hetzelfde als Active Scripting. Het laatste is MS taal voor Javascript. Voor T.net heb je geen ActiveX nodig. Ennuh Bikkelz, zet Javascript maar eens uit in Netscape.

Jaymz 5 januari 2001 16:02

Volgens mij kun je het beste al die tools in Windows, die het je "gemakkelijker" maken simpelweg uitschakelen (Scripting Host, Active Scripting).

Ik ben zelf toch van mening dat mijn PC/ OS niet voor mij hoeft na te denken, dat doe ik wel. Laat hem maar lekker rekenen.

[anecdote]
Zit je F1-2000 te spelen (zonder hulpmiddelen), rij je eindelijk eens een goed rondje, gaat 'ie horten en stoten. =>

"Windows werkt uw snelkoppelingen bij, zodat uw programma's sneller starten"

M'n PC ging dus bijna door het raam, zoals je je wel kunt voorstellen
[/anecdote]

Coju 7 januari 2001 11:40

Ik ben paragnost:
Ik voorspel dat er in de software van M$ meer fouten zitten.

Zou ik gelijk hebben?

JSK 5 januari 2001 15:47

Ach, WMP7 is nou niet echt een verbetering op versie 6.4, dus gewoon niet gebruiken.

wouterve @JSK • 5 januari 2001 20:19

Helaas werkt deze bug ook met Windows MediaPlayer 6.4. Kijk hier maar eens...

Getest op een systeem met Windows 2k (geheel standaard) op een user-account.

edit:

tikvout in url

Verwijderd 5 januari 2001 15:42

Waarom ben ik hier nou niet verbaast over?

Verwijderd @Verwijderd • 5 januari 2001 15:45

Nou, mooi he, al die pakketjes die met elkaar integreren.

LinuxMan @Verwijderd • 6 januari 2001 22:49

er zit zowieso een andere bug in 7, ik kan geen realvideo meer draaien met een afwijkende hoogte/breedte verhouding, dan gaat hij de boel oprekken. Met de realplayer gaat het wel allemaal goed.

Jaymz 5 januari 2001 16:02

[Dubbel: Sorry, NS bleef ff Hangen]

=> /dev/null

Verwijderd 5 januari 2001 16:05

"Zijn oplossing is even simpel als doeltreffend: schakel Active Scripting uit."

Mijn oplossing is ook simpel en doeltreffend:
Gebruik geen Windows

Deddiekoel 5 januari 2001 16:05

Damn!
Ik vond die bewegende dingetjes net zo leuk worden.

Op dit item kan niet meer gereageerd worden.

Lees meer

Reacties (22)

Sorteer op:

Weergave: