Winamp-Sicherheitsloch doch weiterhin offen

Aktuelle Winamp-Version stopft Sicherheitsleck nicht. Die am gestrigen 23. November 2004 bekannt gewordene Winamp-Sicherheitslücke wird entgegen den Versprechungen des Herstellers mit der aktuellen Version der Software nicht behoben. Somit bleibt derzeit nur als Lösung, das Angriffsszenario durch Komfort-Einbußen zu umgehen.

24. November 2004 um 11:21 Uhr / Ingo Pakalski

Der Entdecker des Sicherheitslochs in Winamp, Brett Moore, weist ausdrücklich darauf hin , dass das Sicherheitsleck auch noch in Winamp 5.06 steckt. Mit dieser Version sollte die Sicherheitslücke eigentlich geschlossen werden – das jedenfalls verspricht der Hersteller.

Das Sicherheitsleck steckt in der Winamp-Datei "in_cdda.dll", über die ein Buffer Overflow ausgelöst werden kann, was dann die Ausführung beliebigen Programmcodes ermöglicht. Ein Angreifer muss dazu lediglich eine manipulierte Playlisten-Datei im Format .m3u etwa auf einer Webseite zum Download bereitstellen oder per E-Mail versenden und seine Opfer so zum Öffnen dieser Datei bringen, um sich eine umfassende Kontrolle über ein fremdes System zu verschaffen.

Das Sicherheitsloch wurde für die Winamp-Version 5.05 bestätigt und ist auch – entgegen den Herstellerangaben – in Winamp 5.06 zu finden. Ob das Sicherheitsleck auch in früheren Winamp-Versionen steckt, ist bislang nicht bekannt. Um das Sicherheitsloch zu umgehen, kann man die Dateizuweisungen von Winamp mit den Endungen .cda und .m3u deaktivieren, was dann allerdings die Bedienung der Software beeinträchtigt.