Technische Warnung des Bürger-CERT
Ausgabe vom 17.07.2013
Nummer: TW-T13/0051


BETROFFENE SYSTEME
Alle Webbrowser mit installiertem Windows Media Player Plug-in. Dieses
Plug-in ist im Internet Explorer standardmäßig installiert und aktiviert.
Nutzer von Firefox und Chrome können dieses Plug-In selbständig
herunterladen und installieren.

EMPFEHLUNG
Das Windows Media Player Plug-in sollte bis zum Erscheinen eines Patches
in allen installierten Browsern deaktiviert werden. Ob das Plug-in
installiert und verwundbar ist, kann auf einer Test-Webseite [1]
überprüft werden.

BESCHREIBUNG
Das Windows Media Player Plug-in ist eine Software für Webbrowser, mit
der "Windows Media Player“-Inhalte- direkt in Webseiten eingebettet
wiedergeben werden.

Durch eine Schwachstelle [2] im Windows Media Player Plug-in können
speziell präparierte Webseiten mit Hilfe von
Cross-Site-Request-Forgery-Angriffen (CSRF)[3] über dieses Plug-In im
Kontext des Benutzers auf andere Webseiten zugreifen. Dadurch kann ein
Angreifer auf die Inhalte von Webseiten, die ein Nutzer geöffnet hat,
zugreifen, diese verändern oder auch Aktionen veranlassen. Beispiel
hierfür sind Webmailer, Router-Admin-Oberflächen,
Online-Banking-Webseiten oder auch soziale Netzwerke.
Ein Sicherheitsupdate gibt es noch nicht.

QUELLEN
- [1] Testseite
http://www.rawsec.net/wmp-poc/wmp.html
- [2] Schwachstellenbeschreibung
http://www.rawsec.net/wmp-vulnerability.html
- [3] CSRF Wikipedia Artikel
http://de.wikipedia.org/wiki/Cross-Site-Request-Forgery




-----------------------------------------------------------------------
Diese Technische Warnung ist ein kostenloses Service-Angebot des Bürger-CERT, http://www.buerger-cert.de. Die Informationen werden mit größter Sorgfalt recherchiert und aufbereitet, dennoch kann eine Gewähr oder Haftung für die Vollständigkeit und Richtigkeit nicht übernommen werden.

Unter http://www.buerger-cert.de haben Sie die Möglichkeit, diesen Informationsdienst zu abonnieren oder abzubestellen. Fragen und Anregungen an die Redaktion bitte an: oeffentlichkeitsarbeit@bsi.bund.de