Redmond (USA) – Microsoft ha rilasciato una patch cumulativa per il Windows Media Player (WMP) che, oltre ad includere tutte le patch già uscite in precedenza per le versioni 6.4, 7.1 e 8.0 (Windows XP), va a correggere tre nuove vulnerabilità di sicurezza descritte nell’advisory MS02-032 .
La prima vulnerabilità, valutata come ad alto rischio, riguarda tutte e tre le versioni del WMP ed è causata da una cattiva gestione, da parte del player, di alcuni tipi di licenze allegate a file protetti che si trovino archiviati nella cache di Internet Explorer. La falla consente ad un aggressore l’esecuzione di codice e comandi locali con gli stessi diritti dell’utente. Questo significa che da remoto un cracker potrebbe essere in grado di “modificare o cancellare dati, comunicare con siti Web o cambiare la configurazione del computer”.
La seconda vulnerabilità del WMP, classificata come a medio rischio, riguarda la versione 7.1 per Windows 2000 e 8.0 per Windows XP. Risiede nella gestione, da parte del Windows Media Device Manager, di richieste di accesso ai dispositivi locali di archiviazione. Attraverso questa debolezza un aggressore in taluni casi può loggarsi sulla console di sistema, elevare i propri privilegi e prendere il controllo del sistema.
La terza e ultima falla, valutata come a basso rischio, interessa solo la versione 8.0 di WMP e riguarda il modo in cui il player archivia le informazioni legate alla playlist. Un aggressore può – ma solo in circostanze molto particolari – sfruttare questo buco per far girare script HTML sul computer dell’utente con gli stessi privilegi di quest’ultimo.
Nel suo bollettino di sicurezza Microsoft spiega che questa megapatch introduce anche due novità: una modifica nella configurazione relativa alle estensioni dei file associati a WMP (senza fornire altri dettagli in merito) e una nuova opzione nella funzionalità di sicurezza del WMP che consente agli utenti di disabilitare completamente l’esecuzione di script nel WMP 7.x o successivi.
Tutte le patch e gli advisory sono accessibili da qui .
Ti potrebbe interessare
28 giu 2002