Уязвимый аудиокодек FLAC, позволяющий хакерам выполнять произвольный машинный код, скрытый в аудиофайлах этого формата, по-прежнему используется множеством медиа-плеерами, несмотря на патч от разработчика.
Уязвимости были закрыты 12 октября 2007 г. с выпуском библиотеки libFLAC 1.2.1. В тот же день Nullsoft заменил в WinAmp уязвимый кодек на исправленный, выпустив версию 5.5 своего продукта. Однако уязвимый кодек по-прежнему используют такие плееры, как Cog, dBpoweramp, Foobar2000, jetAudio, PhatBox и плеер от Yahoo! (вероятно, Yahoo! Music Jukebox), сообщает Heise-Security.co.uk со ссылкой на публикацию eEye Security.
Кроме этих продуктов, уязвимый libFLAC применяется в библиотеке libavcodec с открытым кодом, которая, в свою очередь, используется в MPlayer, VLC Media Player, GStreamer, ffdshow, xmms и xine.
В libFLAC насчитывается 14 уязвимостей, почти все из которых приводят к переполнению буфера. Специально сформированные чрезмерно длинные поля или значения размеров полей, содержащиеся в заголовке файла FLAC, копируются кодеком в память без проверки максимально допустимой длины. В результате данные, содержащиеся в файле FLAC, накладываются на другие данные и, при соответствующей компоновке, программа может передать управление на код, внедренный во FLAC.
Опасность уязвимости несколько снижается, так как аудиофайлы FLAC - сжатые без потери качества - редко используются. Известен, по крайней мере, один исполнитель, издавший свой альбом в формате FLAC - рэпер Саул Уильямс (Saul Williams). ИБ-специалисты советуют пользователям осторожнее относиться к медиа-файлам из неизвестных источников.