Durch eine Schwachstelle im MP3-Player Winamp können .mp3-Dateien beliebigen Programmcode ausführen.

Betroffene Systeme

• Nullsoft Winamp (vermutlich sind die Versionen 2.666 bis 2.79 betroffen)

Einfallstor
.mp3-Datei

Auswirkung
Ausführung beliebigen Programmcodes mit den Privilegien des Benutzers von Winamp.

Typ der Verwundbarkeit
buffer overflow bug

Gefahrenpotential
mittel bis hoch
(Hinweise zur Einstufung des Gefahrenpotentials.)

Beschreibung
Durch eine Pufferüberlaufschwachstelle im Minibrowser von Nullsofts Winamp können .mp3-Dateien beliebigen Programmcode auf dem beherbergenden System ausführen. Die Schwachstelle resultiert aus einer Pufferüberlaufschwachstelle bei der Verarbeitung von ID3v2-Tags, in denen weitere Informationen wie Titel, Künstler und Namen des Albums gespeichert werden. Diese ID3v2-Tags werden vom Minibrowser, der in Winamp integriert und standardmäßig aktiviert ist, dazu genutzt, mittels einer Webverbindung auf http://info.winamp.com/ weitere Informationen über den Song (basierend auf den ID3v2-Tags) zu beziehen. Es scheinen nur Winamp-Versionen, die ID3v2-Tags unterstützen, betroffen zu sein (ab Version 2.666).

Neben der Pufferüberlaufschwachstelle bei der Verarbeitung von ID3v2-Tags sind in der Version 2.80 (eigentlich bereits seit Version 2.79) die Heap-Korrumpierung der verwendeten zlib (siehe RUS-CERT-Meldung #744 ([Generic/zlib] Heap-Korrumpierung in der Dekompressionsroutine)) behoben.

Workaround
Deaktivierung des Minibrowsers in Winamp.

Gegenmaßnahmen
Update auf eine aktuelle Version von Winamp (in Version 2.80 ist dieses Problem behoben)

Hinweis
Die in diesem Text enthaltene Information wurde für die Mitglieder der Universität Stuttgart recherchiert und zusammengestellt. Die Universität Stuttgart übernimmt keinerlei Haftung für die Inhalte. Dieser Artikel darf ausschließlich in unveränderter Form und nur zusammen mit diesem Hinweis sowie dem folgenden Copyrightverweis veröffentlicht werden. Eine Veröffentlichung unter diesen Bedingungen an anderer Stelle ist ausdrücklich gestattet.

Copyright © 2022 RUS-CERT, Universität Stuttgart, https://cert.uni-stuttgart.de/