Lücken im Windows Media Player 9

Der Windows Media Player 9 enthält zwei Lücken im ActiveX-Control, welche das Ausspähen des betroffenen Systems und die Veränderung der Daten in Media-Dateien ermöglichen. So lassen sich der Name des Künstlers, des Albums und der Titel des Musikstückes einer Datei von außen verändern.

Verantwortlich für diese Schwachstellen sind die Funktionen getItemInfoByAtom(), über welche festgestellt werden kann, ob bestimmte Dateien auf dem betroffenen PC gespeichert sind, und deren Ergebnisse dann zur weiteren Schädigung genutzt werden können, setItemInfo() und getItemInfo(), mit denen dann die Daten einer Media-Datei verändert werden können, beispielsweise der Name des Künstlers.
Arman Nayyeri, der die Fehler entdeckt hat, spricht davon, dass sich auf diesem Weg beim Parsen einer Datei mit dem Internet Explorer auch ein Skript in diese schleusen ließe. Genaue Angaben zur Ausnutzung dieses Fehlers macht er dabei jedoch nicht, da ihm die Lücke, die dies erlaubt, bisher noch fehlt. Der Windows Media Player 10 verfügt nicht mehr über diese Lücken im ActiveX-Control. Für Benutzer des Windows Media Player 9 bleibt somit nur der Umstieg auf den WMP 10 oder die Deaktivierung von ActiveX, um ganz sicher zu gehen.