Winamp noch immer unsicher
Auch die aktuelle Version 5.13 von Winamp ist anfällig für manipulierte Playlisten, meldet Alan McCaig auf der Sicherheits-Mailingliste Bugtraq.
Auch die aktuelle Version 5.13 des beliebten Media-Players Winamp ist anfällig für manipulierte Playlisten, meldet Alan McCaig auf der Sicherheits-Mailingliste Bugtraq. Der vermeintlich mit der neuen Version beseitigte Fehler lässt sich möglicherweise mit einem leicht modifizierten Exploit nach wie vor zum Einschmuggeln beliebigen Codes ausnutzen.
Winamp stolpert McCaig zufolge immer noch über zu lange Dateinamen in Playlisten – und auch über zu lange Playlisten-Namen. Da die Modifikationen am alten Exploit nur minimal sind, ist damit zu rechnen, dass in Kürze erneut Webseiten versuchen werden, über präparierte Playlisten Anwendern Code unterzuschieben und so in ihre Systeme einzubrechen.
Eine neue Winamp-Version, die den Fehler endgültig beseitigt, ist derzeit noch nicht in Sicht. Um mögliche Probleme durch diese Sicherheitslücke zu vermeiden, könnte der Einsatz der Data Execution Prevention (DEP) helfen. Eine Kurzanleitung in der ersten Meldung der Winamp-Lücke auf heise Security beschreibt die dazu notwendigen Schritte.
Siehe dazu auch: (dmk)
- New winamp m3u/pls .WMA & .M3U Extension overflows auf Bugtraq von Alan McCaig
- Download des Winamp-Players
- Winamp ĂĽber Playlists angreifbar auf heise Security
