Winamp no corrige un problema de ejecución de código en la librería libsndfile

^W

inamp 5.552, la última versión del famoso reproductor disponible desde su web, es vulnerable a un problema de ejecución de código arbitrario a través de la librería libsndfile. Esta contiene un desbordamiento de memoria intermedia al procesar ficheros VOC (Creative Voice). Un atacante podría ejecutar código en el sistema si la víctima abre un archivo en este formato con cualquier versión de Winamp. O lo que es peor, si el formato está asociado a Winamp, explotar la vulnerabilidad puede ser incluso transparente para la víctima. Los creadores de libsndfile han corregido el fallo hace tiempo, pero Winamp sigue sin incorporar la solución a su reproductor. No es el único que usa la librería, pero sí el más popular.

Al reproductor se le acumulan los problemas. A principios de marzo la misma librería sufría otro problema de ejecución de código con los archivos CAF. La versión 5.551 solucionó el fallo. Esta misma versión era vulnerable a un problema de ejecución de código al procesar ficheros MAKI. Se han hecho públicos varios exploits capaces de aprovechar el fallo. La versión 5.552 soluciono esto, pero no el problema con los ficheros VOC descrito más arriba... En enero sufría otro fallo de ejecución de código al procesar ficheros en formato AIFF.

Winamp, cada cierto tiempo, sufre de un problema de desbordamiento de memoria en algún formato y puede convertirse en un origen de ataques al sistema tan peligroso como cualquier otro. Adobe se ha visto obligada a cambiar su política de seguridad precisamente por saberse objetivo de ataques concretos a través de Flash y PDF. La popularidad de Winamp también lo convierte en un jugoso objetivo para atacantes. Teniendo en cuenta la diversidad de ataques que se están produciendo en los últimos tiempos, los creadores de malware no dudan en aprovechar también lo que hasta hace poco se consideraban vectores de ataque residuales, en combinación con sistemas cada vez más blindados, como los navegadores.