News-Meldung vom 15.11.2006 09:18
Der weit verbreitete Windows-Packer WinZip verankert in Version 10 bei der Installation ein ActiveX-Modul im System, das Sicherheitslücken enthält. Der Besuch einer präparierten Webseite reicht aus, um den Rechner zu kompromittieren.
Das WinZip-ActiveX-Modul WZFILEVIEW.FileViewCtrl.61, eine eigene Umsetzung der Funktionen des FileView-ActiveX-Moduls, ermöglicht Angreifern das Einschleusen von Schädlingen mit manipulierten Webseiten. Bei der Installation wird das ActiveX-Control als "safe for scripting" markiert, wodurch der Internet Explorer es auf Anforderung einer Webseite einbindet.
Betroffen sind nur Nutzer der 10er-Versionen von WinZip, ältere Fassungen enthalten das ActivX-Modul noch nicht. Die aktuelle Version WinZip 10.0 Build 7245 schließt die Lücke. Alternativ können Administratoren auch das Killbit für die ActiveX-Komponente setzen, die CLSID davon lautet {A09AE68F-B14D-43ED-B713-BA413F03490}.
Siehe dazu auch:
(dmk)
English Version: Critical hole through WinZip ActiveX module
Version zum Drucken | Per E-Mail versenden
Permalink: http://heise.de/-117953
Themen-Forum Schwachstellen