Se ha encontrado una vulnerabilidad en el codec 3ivx (3ivx.dll), usado
por múltiples reproductores de archivos multimedia para visualizar
archivos MPEG-4.

Esto podría ser explotado por un atacante remoto para ejecutar código
arbitrario con los permisos del usuario ejecutando la aplicación. Si es
el administrador el que ejecuta el programa, entonces un atacante podría
lograr control total sobre un sistema vulnerable.

El problema de seguridad se debe a un fallo al abrir archivos MP4,
debido a errores de límite en 3ivxDSMediaSplitter.ax al procesar ciertos
átomos ("©art", "©nam", "©cmt", "©des" o "©cpy"). Esto podría causar un
desbordamiento del búfer de pila, que podría ser aprovechado por un
atacante remoto para ejecutar código arbitrario, por medio de un archivo
MP4 especialmente manipulado, con los permisos del usuario que intenta
reproducir dicho archivo.

Los exploits han sido publicados directamente por un tal SYS 49152 y,
afectan a todas las versiones del codec, siendo la última la 5.0.1. Los
exploits publicados aprovechan el fallo usando como vectores de ataque
versiones de populares reproductores multimedia: Windows Media Player
6.4.09.1130, Media Player Classic 6.4.9.0 y Nullsoft Winamp 5.32. Aún
está por confirmar si el problema de seguridad puede afectar a otras
versiones más recientes.

Windows Media Player es el reproductor multimedia que acompaña
gratuitamente a los sistemas Microsoft. No contiene por defecto ese
codec. Media Player Classic (MPC) es una alternativa, gratuita, al
reproductor multimedia que incorpora Windows. Winamp es, seguramente, el
reproductor de archivos multimedia más popular para plataformas Windows.

Entre las cualidades de éstos tres reproductores, está el soportar
múltiples formatos, aceptar infinidad de plug-ins y la posibilidad de
descarga de versiones gratuitas. Precisamente por el hecho de soportar
tantos formatos, los reproductores sufren cada cierto tiempo de un
problema de seguridad en alguno de sus codecs y se convierten en un
vector de ataque tan peligroso como cualquier otro. En la mayoría de las
ocasiones, sólo necesita de la ejecución de un archivo con la aplicación
vulnerable para ser aprovechado. Su popularidad los convierte en un
jugoso objetivo para atacantes.

Nullsoft ha publicado un nuevo parche para Winamp (versión 5.35) que
soluciona el problema, pero por el momento no existe ninguna
actualización disponible para el resto de reproductores. Desde Hispasec
se recomienda no abrir archivos no confiables o de dudosa procedencia.

Opina sobre esta noticia:
http://www.hispasec.com/unaaldia/3336/comentar

Más información:

3ivx MPEG-4 Multiple Remote Stack Based Buffer Overflow Vulnerabilities
http://www.securityfocus.com/bid/26773/discuss

Nullsoft Winamp 5.35 patch:
http://download.nullsoft.com/winamp/client/wa5update.exe