Windows Meta File 0-day exploit ITW

#1 WMF (Windows Meta File) 0-day exploit in the wild
Microsoft Windows Graphics Rendering Engine WMF Format Unspecified Code Execution Vulnerability

Gruß
Ajax

#2 Hi Ajax,

magst Du für die die nicht so ganz im Thema drin sind verraten was Du uns mitteilen magst
also irgendein neuer böser Bug der WMV Videos manipulieren kann??

Tille
__________
Anonymität im Internet ist, wenn Du keinen kennst, aber alle Dich.

#3 Eine von Windows genutzte Grafik(art) kann bei sogar gepatchten Windows XP SP2 Maschinen dazu genutzt werden um boesartigen Code auszufuehren. Dazu gehoert die sehr haeufig gefundene Infizierung mit dem Hinweis "Your computer might be infected."

Ich bin mir sicher Heise wird in kuerze darueber berichten. Es ist erst Heute bei F-secure und Securityfocus rausgekommen.

MfG,
__________
Yourhighness
Yourhighness' Seite / Mein Blog (Englisch)

#4 .WMF ist ein Grafikformat

Der Exploit wurde schon auf mehrere Seiten gesichtet.

Zitat

We have a number of sites that we have found with this exploit. Different sites download different spyware. We only had a handful of websites using this new exploit but now we are seeing many more using this to install bad stuff. These image files can be modified very easily to download any malware or virus.

Quelle

Workaround(auch für Anfänger) bis M$ einen Patch herausbringt:

1. Control Registration Utility downloaden und entpacken.
2. Mit Hilfe des Tools nach shimgvw.dll suchen.
3 Rechtsklick auf shimgvw.dll und auf "Unregister Selected Item" klicken und bestätigen.

Gruß
Ajax

#5 Wie ich gestern erwaehnte, hier nun die Heise Meldung:
http://www.heise.de/security/news/meldung/67794

MfG,

Update:

Bei F-secure werden noch folgende Links erwaehnt:

http://www.microsoft.com/technet/security/advisory/912840.mspx
http://www.kb.cert.org/vuls/id/181038

Zitat

Microsoft's bulletin confirms that this vulnerability applies to all the main versions of Windows: Windows ME, Windows 2000, Windows XP and Windows 2003.

Google Desktop sollte - solange noch kein Patch vorhanden ist, deinstalliert werden.

Zitat

Bottom line is that if an image file with the exploit ends up to your hard drive, Google Desktop will try to index it and will execute the exploit in the process.

__________
Yourhighness
Yourhighness' Seite / Mein Blog (Englisch)

#6 Einen temporären Fix plus Checker gibt's hier
http://castlecops.com/a6437-HAZARDOUS_SECURITY_ALERT.html
http://castlecops.com/a6438-Hot_off_the_press_WMF_Vulnerability_Checker.html

Gruß
Heron
__________
"Die Welt ist groß, weil der Kopf so klein"
Wilhelm Busch

#7 Howdy,

Hier gibt es auch was

http://de.castlecops.com/

#8 Guten Morgen!

War Heute Nacht nicht in der Lage es zu posten, als mache ich es jetzt mal:

Zitat

Metasploit, a well-known “white hat” group that comes up with code for exploits to test network systems (in other words, while their intent may be otherwise, the end up writing free code for hackers) has come up with a new way to hack the WMF exploit to “bypass all known IDS signatures”.
Link: http://isc.sans.org/diary.php?storyid=1002

Ursprung: Sunbelt Blog
http://sunbeltblog.blogspot.com/2006/01/wmf-update.html

MfG,
__________
Yourhighness
Yourhighness' Seite / Mein Blog (Englisch)

#9 Zur Ergaenzung (gerade erst gefunden):

Zitat

...in a practical sense, only Windows XP and Windows Server 2003 (in all their service pack levels) are vulnerable to the WMF flaw.
...all versions of Windows back to 3.0 have the vulnerability in GDI32. Except for Windows XP and Windows Server 2003, no Windows versions, in their default configuration, have a default association for WMF files, and none of their Paint programs or any other standard programs installed with them can read WMF files...

Quelle: Larry Seltzer / Eweek: http://blog.ziffdavis.com/seltzer/archive/2006/01/03/39684.aspx

Linked via F-secure: http://www.f-secure.com/weblog/#00000764

MfG

- Edit -

Zitat

Microsoft has completed development of the security update for the vulnerability. The security update is now being localized and tested to ensure quality and application compatibility. Microsoft’s goal is to release the update on Tuesday, January 10, 2006, as part of its monthly release of security bulletins. This release is predicated on successful completion of quality testing.

Quelle
Direkt Link
__________
Yourhighness
Yourhighness' Seite / Mein Blog (Englisch)

#10 "Microsoft's OFFICIAL SECURITY UPDATE leaked onto the Internet early (and it works great!)"

direkt link: http://www.grc.com/sn/notes-020.htm
via: http://sunbeltblog.blogspot.com/2006/01/microsoft-security-patch-has-leaked.html

Zitat

Von Steve Gibson: "Microsoft offizielles Sicherheitsupdate frühzeitig in das Internet durchgesickert (und es funktioniert wunderbar!). Es scheint als ob wir uns ziemlich sicher sein können, das Microsoft das WMF Sicherheitslücken chaos bald aufgeräumt hat. Microsoft's verschlüsseltes und authentisch signiertes
( wenn auch vielleicht nicht das letzte ) Sicherheitsupdate, dass diese Sicherheitslücke adressiert ist frühzeitig in das Internet durchgesickert. Wie erwartet arbeitet Ilfak's WMF Sicherheitspatch und sein Sicherheitslückentester nahtlos mit dem zu erwartenden Sicherheitspatch von Microsoft zusammen. Ilfak's Code kann während der Installation des Microsoft Updates laufen gelassen werden und dannach sicher entfernt werden, nachdem das System nach dem Update einen Neustart durchgeführt hat.

Meine Uebersetzung für Sabinschen, für Ihre Seite: http://virus-protect.org/artikel/newsletter/wpfv.html

MfG,
__________
Yourhighness
Yourhighness' Seite / Mein Blog (Englisch)

#11 Guten Morgen,

nun gibt es auch schon die ersten Screenshots von dem durchgesickerten Hotfix:
http://sunbeltblog.blogspot.com/2006/01/we-take-quick-look-at-microsoft-hotfix.html

N.B: Ilfak's Seite ist auch wieder im Rennen: http://www.hexblog.com/index.html

Zitat

Once we were made aware of the issue (December 28, 2005) we immediately began developing a security update for the WMF vulnerability on an expedited track. Normally the entire process of creating a security update from start to finish, creation, to testing, to release, takes four to six weeks. By taking as many as 200 of our people and having them focus 100% on this issue only we have cut that time down to two weeks and expect to update to be ready on January 10th for release as part of our normal release schedule (again, this is dependant on it clearing all of our quality testing but the potential is high that it will be done on time).
Link: http://myitforum.com/blog/rtrent/archive/2006/01/04/18089.aspx

MfG,

- Edit -

Ich kenne mindestens 2 Quellen des inoffiziellen Patches, es wird allerdings von Sicherheitsexperten geraten auf das M$ Sicherheitsupdate zu warten. Es waere daher unverantwortlich, diese nicht 100% getesteten Links hier zu posten.
__________
Yourhighness
Yourhighness' Seite / Mein Blog (Englisch)

#12 Microsoft stellt Sicherheitspatch schon Heute zur Verfuegung!

Zitat

Microsoft will release the update today on Thursday, January 5, 2006, earlier than planned.

Microsoft originally planned to release the update on Tuesday, January 10, 2006 as part of its regular monthly release of security bulletins, once testing for quality and application compatibility was complete.

…The security update will be available at 2:00 pm PT as MS06-001.

…Microsoft will hold a special Web cast on Friday, January 6, 2006, to provide technical details on the MS06-001 and to answer questions.

Link: http://www.microsoft.com/technet/security/bulletin/advance.mspx
Via: http://sunbeltblog.blogspot.com/2006/01/flash-microsoft-going-out-of-cycle-to.html

Screeny:

MfG,
__________
Yourhighness
Yourhighness' Seite / Mein Blog (Englisch)

#13

Zitat

Yourhighness postete
Microsoft stellt Sicherheitspatch schon Heute zur Verfuegung!
(...)

Thx für den Hinweis
__________
U can get it if u really want! (J.Cliff)

#14 Seid gerade gibt es nun auch vorab den Microsoft Patch
bei mir funktioniert er gut

Greetz Lp

#15 Links zu den Patches:

Microsoft Windows 2000 Service Pack 4
http://www.microsoft.com/downloads/details.aspx?displaylang=de&FamilyID=AA9E27BD-CB9A-4EF1-92A3-00FFE7B2AC74

Microsoft Windows XP Service Pack 1 und 2
http://www.microsoft.com/downloads/details.aspx?FamilyId=0C1B4C96-57AE-499E-B89B-215B7BB4D8E9&DisplayLang=de

Microsoft Windows XP Professional x64 Edition
http://www.microsoft.com/downloads/details.aspx?familyid=3A1166E6-5E9E-4E73-BCD4-28ECA6ECE877&displaylang=en

Microsoft Windows Server 2003 (Service Pack 1)http://www.microsoft.com/downloads/details.aspx?displaylang=de&FamilyID=1584AAE0-51CE-47D6-9A03-DB5B9077F1F2

Microsoft Windows Server 2003 für Itanium-based Systems (Service Pack 1)
http://www.microsoft.com/downloads/details.aspx?displaylang=de&FamilyID=6E372D41-2C16-415E-8306-A5CA8845CC09

Microsoft Windows Server 2003 x64 Edition
http://www.microsoft.com/downloads/details.aspx?familyid=A8F4DCBA-5D28-4D9D-A6A4-3B71108CFE2D&displaylang=en
__________
MfG Argus