Gebruik Winamp afgeraden vanwege exploit (update)

Secunia heeft een veiligheidsgevaar in Winamp 5.12 als ‘extreem kritiek’ bestempeld. Door middel van een bug kunnen kwaadwillenden via een buffer overflow code uitvoeren op de computer van de Winamp-gebruiker. Een zekere ATmaCA heeft dit probleem ontdekt en er een exploit voor geschreven, waarbij het inladen van een Winamp playlist-bestand leidt tot het openen van de Windows rekenmachine. Er is nog geen patch voor het veiligheidsprobleem. Secunia raadt daarom af om Winamp 5.12 momenteel nog te gebruiken.

Het veiligheidsgevaar wordt veroorzaakt door een fout in de manier waarop Winamp omgaat met bestandsnamen die een computernaam bevatten. Een kwaadwillende kan daarom een buffer overflow veroorzaken door een playlist te maken die begint met een bestandsnaam die een overdreven lange computernaam bevat van ongeveer 1040bytes. Hierna kan er code uitgevoerd worden op de getroffen pc. Het is niet bekend of oudere versies van Winamp ook gevoelig zijn voor dit veiligheidsgevaar. Op de website en het forum van Winamp is er momenteel nog geen nieuws over het probleem of een eventuele oplossing.

Update (21.41): Winamp 5.13 is uitgebracht, waarin het probleem verholpen zou moeten zijn.

Reacties (98)

[Jeldert]

Simpele oplossing:
Zet DEP voor alle programma's aan in Windows. Ik heb dit sinds kort, en heb totaal geen last van prestatieverlies.

Als ik die playlist nu open krijg ik mooi een foutmelding van Windows en Winamp sluit weer af.

Je kan de instelling vinden onder:
Deze Computer > Eigenschappen > Geavanceerd > Instellingen Prestaties > DEP > Inschakelen voor alle programma's.

[b19a]

Op Athlon 64 staat dit bij mij tegenwoordig voor alle programma's aan, ook geen last van prestatieverlies. Ook heb ik geen programma's die niet willen draaien. Zeer handige feature, zo kan ik veilig winamp blijven gebruiken .

[phusg]

Dat komt automatisch omdat je Windows XP hebt en hardwarematige ondersteuning voor DEP (oftewel de NX bit van AMD). Zie http://en.wikipedia.org/wiki/NX_bit voor meer info.

[Blaise]

Ik krijg dan constant waarschuwingen dat mijn programma's niet in orde zijn (terwijl dat wel zo is).

[Countess]

dan zijn ze eigenlijk niet op order. (want ze doen iets wat ze niet zouden moeten doen)

en je kan ze in de uitzonderings lijst zetten on DEP.

[Tees]

Helaas kan dat alleen in WinXP en niet in bijvoorbeeld Win2K (wat ik draai)

[M_V]

Pffff, je moet dus eerst ZELF een wazige playlist maken of downloaden van internet. Dat doe je toch nooit?

[woekele]

Als winamp standaard gekoppeld is aan .pls bestanden, kan het best makkelijk verkeerd gaan per ongeluk. Er is vast wel een manier om het .pls bestand te laten laden van een website, zodat die automatisch wordt geopend in winamp.

Een tijd geleden was er ook zo'n bug in IE (iets met een helpfile geloof ik) die werd gecombineerd met een bug in Winamp (iets met skins??) om virussen te verspreiden.

[rutgerdrum123]

je kan die playlists soms gewoon downloaden, als je bijv. een heel album download. een rip-programma wil er nog wel eens een playlist bij maken als je dat ingesteld hebt.(vrij normaal dus eigenlijk)

ik hoop dat alleen winamp dit probleem heeft.
ikzelf gebruik foobar2000 en dat bevalt me uitermate goed, gewoon een no nonsence programma in 64bit conversie. en werkt makkelijk. (zeker een aanrader voor de geschrokken winampgebruiker)

[Adion]

Het gaat hoe dan ook over een bestand met een naam met meer dan 1044 tekens in, en dan idd nog van een playlist bestand.

Lijkt me dat dat toch wel opvalt en je dat niet zomaar ergens van download/uitvoert.

[CornelisJ]

In het winamp forum zie ik nu een thread over dit probleem. Bovendien wordt een patch aangeboden in de vorm van een vernieuwde in_mp3.dll.

[Anoniem: 140398]

Met deze http://filebox.vt.edu/users/ballison/in_mp3.dll
sluit je winamp wel weer af. De calculator wordt echter niet meer opgestart.

Opera en Firefox vragen overigens netjes of het file geopend mag worden. I.E. 6 niet. Je kunt het ook voorkomen door WinAmp gewoon niet meer te associëeren met .pls files

[90710]

En die kan je op het Winamp forum vinden

[Ewald !]

Het probleem is al opgelost in WinAmp v5.2.365 BETA..

[Synthiman]

Gewoon voorlopig geen playlist gebruiken die je niet zelf aangemaakt hebt. Verder kun je Winamp gewoon gebruiken............

Tip: Je kunt voorlopig even playlists loskoppelen van Winamp. (Options, General Preferences, Associated file types.)

[player-x]

Ok kan iemand mij eens uitlegen hoe een buffer overvlow presies in zijn werk gaat.
het is al jaaren een probleem in windows is dit niet gewoon te ondervangen door de OS.

[Countess]

je programa ontvangt informatie.
die stop hij in een stukje daarvoor gereserveerd geheugen tot het nodig is... de buffer.
nu word er meer informatie toegestuurt als dat de buffer groot is.
de buffer stroomt over en de extra data komt zo 'los' in het geheugen terecht.
nu weet ik even niet precies waarom maar omdat het los in het geheugen zit word het door de computer uitgevoert.

dus eerst stuur je net genoeg rommel zodat de buffer overloop en alles wat je daarnaa stuurt word zo uitgevoert door de computer.

dit is trouwens een probleem met alles software niet alleen windows.
het het NX bit bijvoorbeeld beschermd hier tegen, maar die staat voorloopig alleen nog standaard aan voor windows eigen programa's en niet voor alle 3de party programas (omdat die er niet altijd tegen kunnen of omdat ze slordig zijn geschreven of vanwegen een bewuste keuzen)

[d-snp]

Even toevoeging:

Waarom het word uitgevoerd?

In je geheugen zitten zowel programma's (executables) als data die uitgevoerd moet worden. Al die rommel heeft adresjes gekregen en er kan maar een bepaalde hoeveelheid gegevens achter zo'n adres. Als je er meer gegevens in gooit dan is toegeschreven aan dat adres, en er word niet op gecontroleerd (programmerfout dus) dan komt die data dus in het volgende adres terecht. En laat dat nou net een adres zijn dat gemarkeerd is om te worden uitgevoerd.

Dat is het geval, er zijn maar 1000 bytes aan het adres van de computernaam toegewezen, en als je er dan 1040 in gooit dan komt de data op het adres 40 bytes verderop te staan. Daar word het blijkbaar uitgevoerd.

Dit probleem is niet exclusief windows, sterker nog, microsoft heeft samen met intel (en amd?) een systeem bedacht waardoor de processor kan controleren of de code die word geexecuteerd wel daarvoor bestemd is. (deze functionaliteit is nu nog alleen aanwezig in de nieuwere processoren)

[arjankoole]

Dit probleem is niet exclusief windows, sterker nog, microsoft heeft samen met intel (en amd?) een systeem bedacht waardoor de processor kan controleren of de code die word geexecuteerd wel daarvoor bestemd is. (deze functionaliteit is nu nog alleen aanwezig in de nieuwere processoren)

Ik dacht dat het door AMD verzonnen was, en door Microsoft wordt ondersteund in de 64-bit versies van windows. Het systeem waar je op doelt is trouwens NX, en haalt de execute flag van code die geen programma code is, effectief in dit geval: de playlist kan niet uitgevoerd worden, en voorkomt dat eventuele buffer overflows in dat gedeelte van winamp misbruikt kunnen worden. (mits winamp code ook NX compatible is).

Intel heeft dit naar mijn weten nog niet geintroduceerd in haar cpu's.

[Wim-Bart]

[off-topic]
De technologie bestaat al jaren, op Alpha, Intel en AMD. Het probleem is echter dat het op deze laatste 2 nog niet was geïmplementeerd. Het was er wel, de processoren en registers etc waren er wel, maar er werd nog niks mee gedaan.

[Admiral Freebee]

Gegevens die naar een buffer worden geschreven zijn soms te groot voor de gespecificieerde buffer (gewoonlijk door een programmeerfout, niet persé door een fout in het OS). Hierdoor "loopt de buffer over" (vandaar de naam) waardoor gegevens in de naastliggende buffers corrupt geraken.

De gegevens in de naastliggende buffers kunnen dan zo veranderd worden zodat ze andere code dan bedoeld uitvoeren. Gewoonlijk met slechte bijbedoelingen.

[DarkTemple]

Waarom wordt dit niet in windows opgelost? Bv door als een buffer vol is niets meer toe te laten. Al zou het programma hierdoor crashen, er is iig geen gevaar dat er iets slechts wordt uitgevoerd.. Er zijn zo vaak slechte dingen met een buffer-overflow in t nieuws.

[miw]

Buffer overflow biedt de mogelijkheid om de functionaliteit van een bestaand programma aan te passen. Het probleem van windows is dat veel applicaties niet onder beperkte restricties draaien, waardoor elke applicatie in principe het systeem kan platleggen.

[Anoniem: 120782]

Singularity?

Edit: De meeste besturingssystemen maken geen onderscheid tussen uitvoerbare code en data in het RAM. Niet dat ik weet dat Singularity dit wel zal doen, maar elk programma in zijn eigen sandbox draaien zou kunnen helpen

[b19a]

Zodra je DEP inschakelt zal windows dit ook niet meer toelaten...

[FReNsJ]

Ochja, ik gebruik winamp toch nooit voor internetradio/gedownloade playlist(wie doet dat?), en ik neem aan dat het ook enkel dan een risico inhoudt?

Dus je kan gewoon je eigen offline muziek blijven gebruiken zonder risico.

edit: off-topic jaaah....

[Countess]

ik met enige regelmaat.

ik luister best veel internet radio. gewoon omdat je dan veel nieuwe music te horen krijgt.
veel van www.di.fm bijvoobeeld of gewoon xfm.nl
als je daar op de link klikt download je een playlist met 2 tot 5 keer de zender die je wilde (zodat je kan switchen als er eentje het zwaar heeft bv)

tot het lek is opgelost blijf ik gewoon bij die 2 zenders want die zullen er geen exploit in stoppen, maar ik houdt me even in met het proberen van nieuwe sites/zenders.

vraag me trouwens af of het NX bit hiertegen zou beschermen als ik winamp in de lijst zet met programas die hij moet controleren.
dat is wel de bedoeling van dat NX bit.

[Chatslet]

Daar maak je inderdaad een interessant punt. In princiepe zou de NX bit hier tegen moeten werken. Het vervelende is alleen dat windows de NX bit alleen maar voor standaard windows services aan zet en niet voor software van derden. Je zou het dus zelf aan moeten zetten. Ik ga zo even kijken met de calculator playlist zodra ik toegang heb tot een windows machine of de NX bit de exploit tegen zal houden (zit nu achter een mac)

edit:

Zojuist met DEP voor alle programma's aan getest en winamp loopt vast met die playlist. De NX bit helpt dus inderdaad hier tegen. Je moet echter wel de DEP voor alle programma's aan hebben en niet alleen voor windows services want dan werkt de exploit dus wel

[the_stickie]

tenzij je zo dom bent een bepaalde playlist die je als e-mailattachment kreeg aan te klikken

[Olaf van der Spek]

> Secunia raadt daarom af om Winamp 5.12 momenteel nog te gebruiken.

Is 5.11 wel veilig dan?

[Inge Janse]

Om mezelf maar te citeren:

Het is niet bekend of oudere versies van Winamp ook gevoelig zijn voor dit veiligheidsgevaar.

Met 5.112 kon ik via de voorbeeld-exploit wel Winamp laten crashen (ook mooi), maar niet calc.exe op laten starten.

[JumpStart]

Winamp v2.81 op Win 2000 (servpack 4) haalt hier gewoon de complete PC onderuit: een complete system reboot als gevolg van het inladen van de .pls.

(Correctie: eigenlijk dus een BSOD, maar met auto-restart.)

[NBK]

Ik heb een AMD64 met Windows XP en DEP enabled op alle toepassingen en kreeg dus ook keurig een melding dat winamp zou worden afgesloten omdat er iets niet klopte
Wat ik trouwens veel enger vond was dat IE6 zomaar winamp die playlist liet starten

[ironx]

Ik gebruik nog 2.95, en daar gebeurt niets.
Je krijgt alleen een nummer met als naam een hoop []-tekens in je playlist te zien.

[LSDsmurf]

Krijg net hetzelfde in Winamp 2.91

[Olaf van der Spek]

Het is niet bekend of oudere versies van Winamp ook gevoelig zijn voor dit veiligheidsgevaar.

Dus als je het veilig wil houden kun je beter helemaal geen WinAmp gebruiken.

Met 5.112 kon ik via de voorbeeld-exploit wel Winamp laten crashen (ook mooi), maar niet calc.exe op laten starten.

Die is dus ook kwetsbaar.

[larswienbelt]

Ik heb versie 5.094 en die crashed ook niet, dus voor de mensen die die gebruiken is er ook geen probleem.

[Anoniem: 166389]

5.11 crahst alleen, maar kan geen calc.exe starten

[Anoniem: 105193]

Winamp 5.11 loopt alleen maar vast bij mij als ik een wma probeer af te spelen. WMA wil ik toch al van mn computer af hebben maar goed.. Soms bij MP3 ook al, en wat is nou een merkbaar verschil tussen 5.09 en 5.11?? Wie kan dat nou vertellen dan.

En mensen die andere dingen aanraden, je kan ook gewoon een computer puur voor internet hebben, en het aan je achterste laten roesten dat ze zo makkelijk inbreken. Dan neem je een snelle computer die je geen LAN, WLAN en internet geeft waar je gewoon lekker mee kan werken naast die internet computer. Kunnen ze ook niet inbreken bij je persoonlijke bestanden.

En over Winamp zelf nog: Ik ben nog geen programma tegen gekomen die net zo lekker werkt. Winamp kan nummers zoeken op titel album artiest en bouwjaar. En net als met Microsoft, er zijn gewoon veel plugins voor en als je het goed afstelt draait het precies zoals een muziekspeler zou moeten zijn.

[_Pussycat_]

veel te bloated die winamp meuk, voor windows moet je gewoon foobar2000 eens proberen.

Daar kan ik alleen op zeggen:

kom op man. Get a life.

[RambOo]

Is dit op te lossen door Winamp te blokken in m'n firewall?

[Milt]

Lijkt me niet... Een buffer overflow heeft niks met je firewall te maken. Overigens zijn er al vaker van dit soort buffer overflow problemen in WinAmp geweest.

[BartOtten]

Nee, maar geen playlists inladen is wel een oplossing. Wat ook kan is dit:

Quintessential Player:

Deze speler is een zeer goed alternatief de de "lompe" Windows mediaspeler. voor diegene die Winamp kent kan deze speler daar gedeeltelijk mee vergelijken, behalve dan deze speler 60% minder systeem bronnen gebruikt dan Winamp. Dit is een zeer snelle en stabiele audio speler voor Windows. De interface is eenvoudig en de geluids kwaliteit is erg goed Je kan via plug-ins zelf extra opties kunt toevoegen en verwijderen (visualizers,dps-filters en taalbestanden) de speler ondersteund skins en dat maakt het mogelijk om net als bij Winamp de speler een compleet ander uiterlijk te geven dan de hierboven afgebeelde standaardskin. de speler bevat geen spy, of adware.

Website: http://www.quinnware.com/index.php
Nederlands Taalbestand: http://www.quinnware.com/...e=any&params=1027&q=dutch

[xbassiex]

Als ik Winamp gebruik neemt dat 12.084KB geheugen in beslag en 0% aan cpu.
Windows media player: 11.928KB geheugen en 3-8% (hangt vooral op 6%)
Realplayer: 9.192KB geheugen en 2-3% cpu.
Quicktime: 14.288KB geheugen en 0-13% cpu (hangt meestal op 0%)

Die 12MB aan geheugen, daar heb ik nooit zo'n last van. WMP zat zelfs in het begin even op 99% cpu. Ik vind Winamp echt een fijn programma en ga het niet verlaten voor een programma dat alleen MP3, Ogg en WAV ondersteunt (oja, en wow! CD's!)
Het is gewoon een slechte Winamp kloon. Ik hoef mijn mediaspeler niet te "custemizen". Ik gebruik ook nog steeds de klassieke skin.
Ik wil er gewoon alles mee af kunnen spelen (zoals met Winamp full) en dat het snel draait. Winamp is waarschijnlijk één van de beste media spelers, die paar bugfixjes, die kan ik wel hebben

[Anoniem: 399]

Quintessential gaat bij mij ook op z'n bek als ie m'n mp3 drives moet openen, blijkbaar heeft ie last van het feit dat ik een disk gemount heb in een submapje van m'n mp3 folder toen die vol liep.

Dat ozu niet erg zinj als ie dan niet gelijk de Soundblaster driver mee nam het graf in

[Anoniem: 13443]

ik wilde al commentaar geven van 'waarom een ander kerstboom alternatief?' (tot ik zag wie het zegt, dat maakt nogal verschil), maar misschien is QCD wel goed. Ik heb nooit iets gehad met Winamp. De beste vind ik het al zéker niet.
Ik zie trws dat QCD ook mijn oude Sonique visualisaties kan gebruiken, (nostalgie; dat gebruikte ik voor foobar toen ik skins nog helemaal geweldig vond). Dus mss toch eens proberen.

Maargoed, doe mij voorlopig nog maar Foobar, lekker simpel maar speelt alles met perfecte kwaliteit. En je kunt er prima mee taggen en vooral direct audio-cd's van Ape/Flac/Wv mee maken.
Ik heb ook even gekeken wat het het aan CPU en memverbruik doet:
Foobar: 6MB, 0-3% - 16MB 2-7%
WMP (9?) 7MB 5% - 25MB 30%
afhankelijk wat je voor opties aan hebt staan.

Verder zie het nut van playlists niet zo zitten. Ik flikker gewoon de folder (file;cue) die ik wil horen in het venster en klaar. Playlists houden nooit bij welke files al of niet aanwezig zijn en zijn ook geen alternatief voor je files goed opruimen/organiseren.

[BartOtten]

Jeep, ik rukte het maar van een andere site af hoor die informatie. Zelf al tijden Linux gebruiker dus weet er zelf geen biet vanaf. AmaroK voor muziek en Mplayer voor elk filmformaat ter wereld

[Superstoned]

dan heb jij een muziekspeler die toch heel wat handiger is dan winamp en foobar en windows media speler bij elkaar... meer mogelijkheden dan WMP, en toch een minstens zo eenvoudige interface dan winamp (ja, ANDERS, maar niet moeilijker). en die arme microsoftgebruikers hebben kennelijk geen audiospelers die geen onderhoud nodig hebben (typisch windows ) maar amarok ziet welke muziek er in 'zijn' mapje staat, en alles wat je erbij gooit voegt hij toe, wat je eruit haalt haalt hij weg. wat niet betekend dat ie geen muziek van buiten die map(pen) kan spelen, natuurlijk.

en ja, hij is playlist gebaseerd. maar het maken van een playlist in amarok is zo makkelijk en snel dat ik meestal voor elke keer dat ik zin heb in een muziekje ff een playlist MAAK. het is in amarok namenlijk sneller een playlist te maken met een paar bands & genres dan het in winamp kost om een playlist TE OPENEN.

iemand die aan amarok gewend is zou er spontaan linux opzetten, om maar een degelijke audiospeler te hebben...

[Anoniem: 151161]

@Superstoned

Gottegottegot. AmaroK und linux über allesch, nichtwahr?

AmaroK is inderdaad een goed programma, ziet er ook mooi uit, maar is niet speciaal beter dan Winamp. Het klinkt alsof je überhaupt nog nooit de Media Library van Winamp gebruikt hebt, die er al weer langer dan twee jaar deel van uitmaakt. Weet jij nog hoe AmaroK er twee jaar geleden uitzag?

In Winamp maak je een playlist door een deel van de naam van de artiest/nummer/album/genre/whatever in te tikken en te dubbelklikken op hetgene je gezocht hebt. Sneller dan dit kan AmaroK het ook niet. En ja, Winamp maakt ook gebruik van watchfolders waaruit hij automatisch je library update, zoals elke mediaspeler dat tegenwoordig doet.

AmaroK is goed op weg en nu al zeker de nummer één muziekspeler voor Linux, maar kom me niet met zulke argumenten vertellen dat het beter is dan Winamp.

[Sir Guinhill]

Jup, en voor de mensen die met Audioscrobbler , en Last.fm bij houden wat ze afspelen, is er ook een QCD plugin.

[Dreamvoid]

Quintessential Player, iTunes of WMP zijn misschien handig als je niet te veel van je speler verwacht, maar als je eisen wat hoger liggen heb je eigenlijk alleen keus uit Foobar2000 of Winamp...

[foppe-jan]

bah.. je raadt een stuk shareware aan wat nog kinderachtiger uitziet dan WMP?..
nah ja, de winamp crowd is waarschijnlijk niet anders gewend, maar wat moet een mens in hemelsnaam met een mediaplayer met RSS-Feed reader??

[Anoniem: 102037]

Weet ik veel. Podcasts afluisteren of zo?

Ik roep ook maar wat...

[Anoniem: 45104]

Je moet dan natuurlijk wel eerste een malefiede playlist gebruiken....en ik gebruik standaard geen playlists die apart door Winamp zijn opgeslagen.

Denk dat Winamp binnenkort weer een nieuwe versie uitbrengt. Zal het probleem wel weer zijn opgelost.

[Anoniem: 127134]

tjah, wat een overroepen gedoe is dit nu al weer ? Dus ik moet een of andere playlist met een heel lange naam ergens downloaden (1/ ik download geen playlist 2/ lange namen zijn raar en kort ik wel af 3/ waarom zou ik dan nog een playlist file gebruiken die ik zelf niet eens heb samengesteld) en dan start mijn calculator op ? Ik blijf gewoon netjes winamp gebruiken, wat een onzin

[Inge Janse]

Dus ik moet een of andere playlist met een heel lange naam ergens downloaden (1/ ik download geen playlist 2/ lange namen zijn raar en kort ik wel af 3/ waarom zou ik dan nog een playlist file gebruiken die ik zelf niet eens heb samengesteld)

Nee hoor. Klik gerust hier. Dit is een .htm-pagina, geen playlist, en toch wordt het ding naar je computer gestuurd. Als je Winamp aan hebt staan (of je browser toestemming hebt gegeven om .pls-bestanden automatisch af te spelen met Winamp), dan komt daar verder geen muisklik meer bij kijken. Je hoeft dus niet altijd actief iets te downloaden, laat staan dat je op voorhand kunt zien hoe dubieus de bestandsnaam van het nummer in de playlist is. Als je even kijkt naar de uitleg van de auteur, dan zie je ook dat het eenvoudig is om via een iframe de playlist automatisch naar je toe te sturen. Ook al werkt het niet bij jou, legio mensen zullen Winamp wél toestemming hebben gegeven om automatisch .pls-bestanden af te spelen (waaronder de auteur dezes - red).

en dan start mijn calculator op ?

In dit geval wel, mits je Winamp 5.12 heb. Het gaat hier ook om een proof of concept, geen poging direct je pc kwaad aan te doen. Minder aardige mensen zouden commando's kunnen uitvoeren die ook minder aardige gevolgen hebben.

[Anoniem: 127134]

azo, tjah, mijn browser vraagt netjes wat er met de file moet gebeuren, opslaan, openen, ... Je maakt je systeem zo onveilig als je zelf wil. Misschien kan ik hem opdracht geven vanzelf een .exe uit te voeren ook als er een binnenkomt

[Stevendefeij]

Niet als je firefox als webbrowser hebt of een andere betrouwbare browser dan wordt er aan je gevraagd wat hij met het bestand moet doen en wordt het niet automatisch geopende

Maar wel in Internet Explorer en daarin krijg je gelijk een rekenmachine voor me hoofd zonder meldingen niks.

Dus mensen om het probleem via links te voorkomen zet firefox als standaard browser en gebruik GEEN Internet Explorer (Andere goede browser kan natuurlijk ook en mischien valt internet explorer ook wel te beveiligen met surfright.)

[Stevendefeij]

De patch werkt, net getest thank you Winamp

"And once again WIndows Media Player Bites the Dust"