WMF-haavoittuvuus

Järjestelmät

Jokainen Microsoft Windows käyttää Windows-metatiedostoja. Kaikki versiot Windows 3.x:sta uusimpaan Windows Server 2003 R2:een sisältävät tämän vian. Kuitenkin vain Windows XP:stä lähtien sisältää perusasennuksessaan käsittelijän ja lukutoiminnot WMF-tiedostoille. Niihin vika vaikuttaa paljon enemmän.  Windows Me -järjestelmä on haavoittuvainen, jos kuvien esikatseluominaisuus on kytketty päälle.  Toisia Windows-versioita tai Millennium Editionilla toimivat järjestelmät ilman kuvien esikatselua tai Data Execution Prevention (DEP) eivät ole haavoittuvia tunnetuilla vian eksploiteilla. Ne ovat kuitenkin alttiita uusille tuleville eksploittiversioille ja vielä tuntemattomille eksploiteille .
Muut kuin Windows-järjestelmät (Mac OS, Linux, jne.) eivät ole suoraan alttiita vialle. Alttiita ovat ainoastaan näissä järjstelmissä toimivat kolmannen osapuolen ohjelmat, jotka käyttävät WMF-tiedostoja ja jotka käyttävät natiivia Windowsin GDI-DLL:ää  tai kopioituja klooneja; toisin sanoen emulaattorit ja yhteensopivuuskerrokset. Esimerkiksi Winessä on oma GDI-versio, joka toteuttaa Microsoftin määritelmät (spesifikaatiot) niin hyvin kuin on mahdollista. Wine sisältää tämän WMF-vian , vaikka se ei ole samalla tavalla altis haavoittuvuudelle.

Haavoittuvuus

F-Securen  mukaan haavoittuvuus on WMF-tiedostojen suunnitteluvika, koska suunniteltu arkkitehtuuri on peräisin muinaisesta tietokonearkkitehtuurista sisältäen ominaisuuksia, jotka mahdollistavat ohjelmakoodin suorittamisen kun WMF-tiedosto avataan. Alkuperäinen idea tässä oli pääasiassa käsitellä tulostustöiden keskeyttäminen tulostusjonoissa.
Haavoittuvuus on CVE-2005-4560 Common Vulnerabilities and Exposures -tietokannassa, US-CERT-viite VU#181038 ja Microsoftin Knowledge Base -artikkeli 912840.
On arveltu, että WMF-tiedostoissa on lisää haavoittuvuuksia.

Virallinen korjauspaikka

Microsoft julkaisi virallisen korjauspaikan (saatavilla täällä) 5. tammikuuta 2006, viisi päivää luvattua aiemmin. Tämä korjauspaikka tuli asentaa muista tietoturvapäivityksistä riippumatta.
Virallinen paikka oli saatavilla Windows 2000-, Windows XP- ja Microsoft Windows Server 2003 -käyttöjärjestelmille. Windows 98 tai Windows Me -järjestelmille ei oltu julkaistu paikkaa koska Microsoft päätti, että haavoittuvuus ei ollut kriittinen näissä käyttöjärjestelmissä. (Ainoastaan kriittisiä päivityksiä tarjotaan näille järjestelmille Microsoftilta.) Muille Microsoftin käyttöjärjestelmille ei ole saatavilla paikkaa, sillä Microsoft ei tue enää niitä. Tunnettu tietoturva-asiantuntija Steve Gibson kertoo , hänen Security Now! -podcastissaan, että hänen yhtiönsä Gibson Research Corporation tekee ja antaa saataville paikan Windows 9X -järjestelmille, jos Microsoft ei itse julkaise sellaista.
Välitöntä korjauspaikkaa etsivät Windows 98 ja Windows Me -käyttäjät olivat voineet asentaa Paolo Montinin ja Eset-yhtiön (NOD32 Anti-virus -järjestelmän tekijä) tekemän paikan. Paikan oli voinut ladata vapaasti ja se toimi vanhemmissa järjestelmissä, mutta sille ei annettu toimivuustakuuta. Se on saatavilla täältä.
On raportoitu, että Microsoftin virallinen paikkaus asentuisi automaattisesti vaikka järjestelmä olisi määritetty pyytämään aina vahvistusta päivitysten asentamiselle. Tästä pakkoasentamisesta seuraa tietokoneen uudelleenkäynnistäminen ja tästä voi seurata tallentamattomien tietojen häviämistä.

Hätäratkaisu

Hätäratkaisuna  28. joulukuuta 2005 Microsoft neuvoo Windowsin käyttäjiä poistamaan dll-tiedoston shimgvw.dll rekisteröinnin (joka voidaan tehdä suorittamalla komento regsvr32.exe /u shimgvw.dll Suorita-valikosta tai komentokehotteella). Tämä kutsuu kuvien esikatselua ja sen kautta tulee suurin osa hyökkäyksistä. DLL voidaan uudelleenrekisteröidä uudelleen suorittamalla regsvr32.exe shimgvw.dll kunhan vika on korjattu.

Kolmannen osapuolen paikat

Ilfak Guilfanov julkaisi kolmannen osapuolen paikkaohjelman 31. joulukuuta 2005 väliaikaisesti estämään haavoittuva funktiokutsu gdi32.dll -tiedostossa. Tämä epävirallinen paikka sai paljon julkisuutta, sillä Microsoft ei ollut julkaissut virallista paikkaa. Guilfanovin paikkaohjelma sai SANS Institute Internet Storm Centerin  suosituksen ja F-Securen suosituksen .
Suuren julkisuuden takia mukaan lukien epäsuorasti Slashdot-vaikutus  Guilfanovin WWW-sivun palvelin ylikuormittui kävijämääristä ja kaatui 3. tammikuuta 2006. Alhaallaolon aikana WMF-korjauspaikka oli saatavilla ladattavaksi lukuisista peilipalvelimista, mukaan lukien Internet Storm Centerin WWW-sivu . Guilfanovin WWW-sivu tuli takaisin 4. tammikuuta hyvin pelkistetyssä muodossa. Siellä ei ollut enää paikkatiedostoa, jotta palvelinkoneen yhteyksien kaistanleveys ei ylikuormittuisi.
Hexblog tarjosi luettelon peilipalvelimista, joista käyttäjät voivat ladata paikan ja haavoittuvuuden tarkistusohjelman, sekä MD5-tarkistussumman alkuperäiselle tiedostolle, jotta lataajat voivat varmistua ladatun tiedoston eheydestä.
Kun Micfosoft julkaisi oman paikkansa, Guilfanov otti omansa pois ja patisti sivulla vierailijoita asentamaan virallisen paikan. Hänen tarkoituksena oli koko ajan kannustaa ihmisiä käyttämään tarjottua ja testattua virallista paikkaa.