BM03-010 - Blixtmeddelande från Sveriges IT-incidentcentrum - DirectX

Blixtmeddelande från Sveriges IT-incidentcentrum - DirectX
 
Prioritet: Hög
Sitic id: BM03-010
Datum: 030724
Tid: 10:45
 
eEye Digital Security har upptäckt en säkerhetsbrist (CAN-2003-0346) i DirectX 5.x - 9.x, vilket kan leda till att obehöriga tar kontroll över maskinen. Microsoft har presenterat säkerhetsuppdateringar för bristen och kategoriserar denna uppdatering som "Critical". 
 
Problembeskrivning:
Problemet är att det finns två okontrollerade buffertar i DirectX vilket möjliggör att illvillig kod i en MIDI-ljudfil kan exekveras lokalt på maskinen. Dessa MIDI-filer kan vara inkluderade i HTML-dokument i form av webbsidor eller e-post, vilket innebär att t ex ett besök på en hemsida eller öppnandet av html-formaterad e-post kan innebära att illvillig kod exekveras med användarens privilegier.
 
Verkan:
Kod kan exekveras lokalt med användarens privilegier.
 
Påverkade versioner:
Microsoft Windows 2000 Advanced Server
Microsoft Windows 2000 Datacenter Server
Microsoft Windows 2000 Professional
Microsoft Windows 2000 Server
Microsoft Windows 95
Microsoft Windows 98
Microsoft Windows 98 Second Edition
Microsoft Windows Millenium
Microsoft Windows NT 4.0 Server
Microsoft Windows NT 4.0 Server, Terminal Server Edition
Microsoft Windows NT 4.0 Workstation
Microsoft Windows Server 2003 Datacenter Edition
Microsoft Windows Server 2003 Enterprise Edition
Microsoft Windows Server 2003 Standard Edition
Microsoft Windows Server 2003 Web Edition
Microsoft Windows XP Home Edition
Microsoft Windows XP Professional
 
Mer information:
http://www.eeye.com/html/Research/Advisories/AD20030723.html
http://cve.mitre.org/cgi-bin/cvename.cgi?name=CAN-2003-0346
 
Tillgänglig uppdatering:
http://www.microsoft.com/technet/treeview/default.asp?url=/technet/security/bulletin/MS03-030.asp