Auf der RSA-Sicherheitskonferenz im kalifornischen San Francisco hat ein Sicherheitsforscher vor Attacken auf Windows-Server gewarnt. Hacker könnten mithilfe einer JPEG-Bilddatei Zugang zu SQL-Servern und Domänen-Controllern  erlangen.

Den dafür nötigen Schadcode fügte Marcus Murray vom IT-Beratungsunternehmen Truesec in das Kommentarfeld der EXIF-Dateien des Bildes ein. EXIF-Dateien speichern üblicherweise Informationen zu Größe, Auflösung oder Entstehungsdatum des Motivs, sogenannte Metadaten.

An die Dateiendung .jpeg hängte Murray die Endung .aspx an. Sie steht sonst für Dateien, die von Microsoft-Webservern ausgeführt werden. Die manipulierte Datei wurde vom Testserver trotzdem als Bilddatei erkannt und für den Upload akzeptiert.

Nach dem Hochladen des Bilds musste Murray nur noch die Vorschaufunktion verwenden: Anstelle der Bildanzeige wurde nun das im EXIF-Kommentarfeld verborgene Skript ausgeführt. Murray ermöglichte das den Zugriff auf zusätzliche Informationen über den Server.

Ein Server als Sprungbrett

Im beschriebenen Fall diente der eroberte Server als Sprungbrett, um sich Zugang zu weiteren Rechnern im Netzwerk zu verschaffen. In der zugänglich gemachten Server-Datenbank konnte Murray auf die IP-Adresse des DNS-Servers zugreifen, der im beschriebenen Fall gleichzeitig als Domänen-Controller diente.

Das Problem liegt nicht beim Dateiformat JPEG als solches, lautet die Einschätzung des Fachportals "Heise" . Derartige Dateien seien ja prinzipiell nicht ausführbar. Die Gefahr rühre vielmehr von der mangelhaften Kontrollroutine des Microsoft-Webservers, der das JPEG zwar korrekt als Bild erkennt. Gleichzeitig sorge die zusätzlich angefügte Endung dafür, dass der Server die Datei auch auszuführen versuche - mit allen verborgenen Inhalten.