DVB-Cube <<< Das deutsche PC und DVB-Forum >>>
PC-Ecke => # Security Center => Thema gestartet von: SiLæncer am 15 November, 2006, 09:35
-
Der weit verbreitete Windows-Packer WinZip verankert in Version 10 bei der Installation ein ActiveX-Modul im System, das Sicherheitslücken enthält. Der Besuch einer präparierten Webseite reicht aus, um den Rechner zu kompromittieren.
Das WinZip-ActiveX-Modul WZFILEVIEW.FileViewCtrl.61, eine eigene Umsetzung der Funktionen des FileView-ActiveX-Moduls, ermöglicht Angreifern das Einschleusen von Schädlingen mit manipulierten Webseiten. Bei der Installation wird das ActiveX-Control als "safe for scripting" markiert, wodurch der Internet Explorer es auf Anforderung einer Webseite einbindet.
Betroffen sind nur Nutzer der 10er-Versionen von WinZip, ältere Fassungen enthalten das ActivX-Modul noch nicht. Die aktuelle Version WinZip 10.0 Build 7245 schließt die Lücke. Alternativ können Administratoren auch das Killbit für die ActiveX-Komponente setzen, die CLSID davon lautet {A09AE68F-B14D-43ED-B713-BA413F03490}.
Siehe dazu auch:
* WinZip 10.0 Build 7245, Releasenotes zur aktuellen WinZip-Version
* WinZip FileView ActiveX Control Unsafe Method Exposure Vulnerability, Fehlermeldung der Zero Day initiative
Quelle und Links : http://www.heise.de/security/news/meldung/81039