Lue uutinen mobiilisivustolla

Useat mediasoitinohjelmistot haavoittuvaisia Flac-kirjaston haavoille

21.11.2007 12:27 Tietoturvayhtiö iDefense löysi jo elokuussa avoimen lähdekoodin häviöttömästä musiikin pakkaukseen ja purkuun tarkoitetusta Flac-kirjastosta neljätoista haavoittuvuutta. Nämä paikattiin kirjastosta jo syyskuussa, mutta monet kirjastoa käyttävät mediasoitinohjelmistot ovat edelleen haavoittuvaisia.

Avoimen lähdekoodin Flac-kirjastosta, Free lossless audio codecista löydettiin jo elokuussa neljätoista haavoittuvuutta, joista lähes kaikki johtuivat tiedostomuodon käsittelyyn liittyvistä puskurin ylivuodoista. Haavoittuvuuksien avulla haitalliseksi viritetyn flac-tiedoston avaaminen voi altistaa avaajan tietokoneen haittakoodille.

Kehittäjät julkaisivat kirjaston haavat paikkaavan 1.2.1-version jo syyskuun puolivälissä. Myös useat Linux-jakelut ovat julkaisseet paikkaversion kirjastosta.

Haavat korjattiin jo syyskuussa, mutta julkisesti asiasta tiedotettiin marraskuun puolivälissä. Ilmeisesti haavoittuvuudet koettiin niin laajakantoisiksi, että niistä piti tiedottaa ohjelmistokehittäjiä hyvissä ajoin.

Käyttöjärjestelmään asennettuun Flac-kirjastoon dynaamisesti linkittävät ohjelmistot saavat paikat suoraan, mutta monet omia kirjaston kopioita hyödyntävät multimediaohjelmistot ovat edelleen haavoittuvaisia.

Us-certin mukaan näitä ovat muun muassa Aolin Winamp, Cog, Dbpoweramp, Foobar2000, Jetaudio, Phatbox ja jotkin Yahoon tuotteet, joista yhdeksi arvellaan Music Jukeboxia. Näistä tiettävästi ainoastaan Winamp on paikattu. Ongelmaa voi kiertää välttämällä epäilyttävien flac-tiedostojen avaamista.

Linux-maailmasta lähtöisin olevat MPlayer-, VLC-, Gstreamer, ffdshow, xmms ja Xine voivat olla haavoittuvaisia Flacin aukoille. Yleensä nämä ohjelmat ovat kuitenkin linkattu libflacin sijasta näiltä haavoilta turvassa olevaan libavcodeciin.

Matias Mäki
matias.maki@sanoma.fi

Teksti on lisensoitu Creative Commons Nimeä-Ei muutoksia-Epäkaupallinen -lisenssillä.

Kirjoita kommentti

Kommentit (2)

0

0

Tietoturvayhtiö iDefense löysi jo elokuussa avoimen lähdekoodin häviöttömästä musiikin pakkaukseen ja purkuun tarkoitetusta Flac-kirjastosta neljätoista haavoittuvuutta. Nämä paikattiin kirjastosta jo syyskuussa, mutta monet kirjastoa käyttävät mediasoitinohjelmistot ovat edelleen haavoittuvaisia.

Digitoday

Lainaa Ilmoita asiaton viesti

# 21.11.2007 12:41

1

0

Foobar versiosta 0.95 eteenpäin on päivitetyt FLAC kirjastot 1.21.
( nyt 0.95 on vielä beta4 )

Tommi

Lainaa Ilmoita asiaton viesti

# 21.11.2007 12:41

Sivut: 1 Edellinen Seuraava

Uutiset

Seksuaalirikoksesta epäilty valmentaja löytyi kuolleena sellistä

• Pohjanlahdelta löytyi upotettu konjakkilaiva
• Miljoonien viinakokoelma myyntiin vaimon vuoksi
• Kreikkaan vaaditaan uusia vaaleja
• Tukholman teinit tilaavat vodkaa tekstiviestillä