Kritische Sicherheitslücke in diversen Winamp-Versionen

Dieser Artikel beschreibt die Funktionsweise der als kritisch einzustufenden Sicherheitslücke im beliebten MP3-Player Winamp und bietet einen Test ob man von dem Problem betroffen ist.

Hallo zusammen,

ein Freund hat mich gestern zufälligerweise auf eine Sicherheitslücke im Winamp Media Player aufmerksam gemacht.
Alle bekannten IT-Newsticker hatten von diesem Problem berichtet. Ich habe hier im Forum keinen Beitrag diesbezüglich gesehen, deswegen beschreibt dieser Artikel die Funktionsweise dieser Sicherheitslücke. Ferner habe ich Source Code vorliegen, mit dem sich diese Sicherheitslücke sehr einfach ausnutzen lässt um die Kontrolle eines Fremdrechners zu übernehmen. Ich habe den Code an mir selbst und an freiwilligen Freunden ausprobiert. Ergebnis: Der Hersteller Nulsoft behauptet der Bug würde sich auf alle Versionen unter 5.13 beziehen, was aber nicht ganz stimmt. In meiner alten Version 2.81 wird zwar der entsprechende Code eingelesen aber nicht ausgeführt. Auf einigen anderen Rechnern funktioniert die Sache einwandfrei.

Zum besseren Verständnis der Thematik verweise ich erstmal auf einige Resourcen diesbezüglich
? http://www.heise.de/newsticker/result.xhtml?url=/newsticker/meldung/689 ...
? http://www.pcwelt.de/news/sicherheit/131270/

Wie funktioniert die Sicherheitslücke
Die Sicherheitslücke basiert auf einem simplen Bufferoverflow. In einer Playlistfile (*.pls) wird an einer Stelle ein manipulierter Eintrag eingetragen, der den Buffer in Winamp zum überlaufen bringt, worauf der schädliche Code injiziert wird. Ein Angreifer kann somit auf dem ausgetricksten Computer jeden Code ausführen, den er in der Lage ist zu schreiben. Das Ausnutzen dieses Bugs sowie das Injizieren des Codes ist extrem trivial!

Warum besteht hohe Gefahr?
Ich persönlich schätze diesen Exploit als besonders kritisch ein - nicht nur weil man jeden Code ausführen kann, den man zu schreiben in der Lage ist, sondern vor allem weil man auf besonders schnelle und hinterhältige Art und Weise tausende von Rechnern "infizieren" kann. Wie geht ein Hacker vor? Bevor der Code ausgeführt wird, muss der Hacker erstmal zusehen, dass jemand die manipulierte Playlist öffnet, also muss er Sie auf seinen Rechner bringen. Wenn ich so etwas verteilen wollen würde, würde ich wahrscheinlich Peer to Peer Netze verwenden - da kommt sowas unbemerkt durch. Aber das gemeine an der Sache ist, man kann eine Playlist über eine Website auf den Computer bringen und die Ausführung erzwingen.

Ein Beispiel des Exploits
Ich habe den Exploit auf meinen Webspace hochgeladen um ihn zu Demozwecken zu präsentieren.
Der Autor des Exploits verwenden im Injection-Code zu Demozwecken die Ausführung des Windows Taschenrechners calc.exe.
Das heisst: Sobald die Seite geladen wird, wird in einem IFrame die manipulierte Playlist geladen und Winamp wird diese Datei automatisch ausführen. An einer belieben Stelle in der Playlist wird ein zu langer UNC-Pfad angegeben, Winamp versucht diesen Auszuwerten, es kommt zum Bufferoverflow, Exploit Code wird injiziert und ausgeführt.

Hier das Beispiel auf meiner Website: http://www.piksa.info/winamp.html
Es wird jedeglich calc.exe gestartet!

Ein Hacker wird natürlich anderes vor haben als den Taschenrechner zu starten.
Mitlerweile verwenden Spyware-Dealer diesen Trick um Rechner zu befallen -> http://www.heise.de/newsticker/result.xhtml?url=/newsticker/meldung/692 ...

Ich würde gernen einen Überblick verschaffen über die Versionen, die tatsächlich von dem Bug betroffen sind.
Deswegen bitte ich jeden, der die Demo des Exploits ausprobiert auch zu schreiben welche Version er verwenden und ob der Taschenrechner gestartet wurde, oder nicht.

Ich habe wie gesagt die Version 2.81. Bei mir bleibt der Calculator aus.