Archivio » 2004 » agosto » giovedì 26 »

Sicurezza, un pericoloso bug per Winamp

Scritto da Guido Sintoni

Un difetto nella gestione dei temi del popolare software multimediale può portare all’esecuzione arbitraria di codice. Ancora problemi per il produttore America Online. E per ora nessuna soluzione

Un bollettino della danese Secunia, azienda molto conosciuta in tema di security, getta Winamp, il popolare riproduttore di musica digitale, nell’occhio del ciclone.

Sicurezza e antivirus

» Aiuto! proteggete il mio computer

Dietro il lama - da sempre l’emblema di Winamp - si potrebbe infatti nascondere un lupo: il meccanismo di gestione dei temi dell’applicazione, infatti, non è sufficientemente protetto, e può portare all’esecuzione arbitraria di programmi camuffati da skin di Winamp. Facile prevedere a chi faccia gola la notizia: ai produttori di spyware (ma non solo), che - infatti - hanno iniziato la loro opera su svariati canali Irc. Basta infatti seguire i link ivi proposti per dotare il proprio Pc di funzioni tanto nascoste quanto indesiderate. E, in ultima analisi, fare conoscere le proprie abitudini di navigazione a terze parti senza volerlo.

Se il browser Web è il criticatissimo Internet Explorer (all’inizio di luglio soggetto ad un problema analogo), l’esecuzione arbitraria di codice può avvenire in maniera automatica, senza bisogno di interventi dell’utente. Il produttore di Winamp, Nullsoft, è un’azienda controllata da American Online, il colosso mediatico il cui Aol Instant Messenger ha avuto due settimane fa gravi problemi di sicurezza. Le dichiarazioni di Aol sul bug di Winamp sono di circostanza: “Stiamo analizzando il problema, e - se necessario - rilasceremo ulteriori informazioni”. Un modo per dire che la soluzione non sembra immediata.

La francese K-otik ha pubblicato una proof of concept relativo alla vulnerabilità di Winamp, effettivamente funzionante.
Sta ora a Nullsoft (e quindi ad American Online) rimediare nel più breve tempo possibile: altrimenti il consiglio di Secunia (“cambiare prodotto”) diventa quanto mai plausibile.