Según advierte iDefense, se ha detectado una vulnerabilidad en FLAC, un conocido formato de compresión de archivos de audio. Entre otros productos, el popular Winamp de AOL soporta este formato y por lo tanto sus usuarios son vulnerables a un ataque.

La vulnerabilidad afecta al componente libFLAC, utilizado por varias aplicaciones que soportan FLAC (Free Lossless Audio Codec).

Versiones anteriores a la 1.2.0, son afectadas por múltiples vulnerabilidades del tipo desbordamiento de entero (integer overflow). Esto ocurre cuando una variable definida como entera, sobrepasa los valores asignados. En este caso, se calcula de forma errónea la cantidad de memoria necesaria, sobrescribiéndose la utilizada por el programa que utilice esta biblioteca.

Estas vulnerabilidades pueden permitir la ejecución de código de forma remota, utilizando como vector de ataque un archivo FLAC modificado maliciosamente, cuando el mismo es abierto por una aplicación como Winamp.

Otros fabricantes que utilicen libFLAC en sus aplicaciones también pueden ser vulnerables.

Los usuarios de Winamp deben actualizarse a la versión 5.5 o superior, que soluciona este problema. Usuarios de otras versiones (y otras aplicaciones), deberían deshabilitar el soporte para archivos FLAC siempre que ello sea posible, hasta que una versión corregida esté disponible.

La versión 1.2.1 de libFLAC ha sido realizada, la cuál soluciona estas vulnerabilidades.


Más información:

Multiple Vendor FLAC Library Multiple Integer Overflow Vulnerabilities
iDefense Security Advisory 10.11.07
http://labs.idefense.com/intelligence/vulnerabilities/

FLAC changelog
http://flac.sourceforge.net/changelog.html

CVE-2007-4619 (Common Vulnerabilities and Exposures project)
http://www.cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2007-4619
http://nvd.nist.gov/nvd.cfm?cvename=CVE-2007-4619



(c) Video Soft - http://www.videosoft.net.uy
(c) VSAntivirus - http://www.vsantivirus.com