◈ 제목
NullSoft WinAmp Playlist 파일 핸들링 버퍼 오버플로우 취약점
◈ 개요
Nullsoft사의 WinAmp 5.12 버전에는 임의의 코드 실행이 가능한 스택 기반(Stack-Based)의 버퍼 오버플로우 취약점이 존재한다. 해당 취약점은 MP3 파일 실행 엔진인 "in_mp3.dll"에서 playlist(*.pls) 속의 지나치게 긴 파일경로를 처리하는 과정에서 발생한다. 공격자는 악의적인 Playlist 파일을 통하여 WinAmp를 크래쉬(crash)시키거나 임의의 코드를 실행할 수 있다.
◈ 공격유형
취약점을 이용한 원격 코드 실행
◈ 해당시스템
NullSoft WinAmp 5.11
NullSoft WinAmp 5.12
◈ 영향
공격자는 취약점을 이용하여 WinAmp를 크래쉬(crash)시킬 수 있으며, 공격자가 원하는 임의의 코드를 실행할 수 있다.
◈ 설명
해당 취약점은 악의적으로 조작된 PLS 파일을 통한 버퍼 오버플로우로 인하여 발생한다.
PLS 파일은 WinAmp를 통해 실행될 음악 정보들을 개별 엔트리 형식으로 저장하고 있는 파일로서, 다음과 같이 Windows INI 파일과 유사한 형식을 갖는다.
[playlist]
File1 = c:\Music\Romance.mp3 (파일경로명)
Title1 = Romance (타이틀명)
Length1 = 199 (초)
File2 = c:\Music\Romance1.mp3
Title2 = Romance2
Length2 = 300
NumberofEntries = 2 (엔트리수)
Version = 2
MP3 파일 실행 엔진(in_mp3.dll)에서 이 PLS 파일 속 각 엔트리를 읽어들여 처리하는 과정에서 파일의 경로명을 명시한 "File=" 데이터의 길이를 올바르게 검사하지 않고 복사하기 때문에 문제가 발생한다.
실제 공격에서는 PLS 파일 속 "File1=" 엔트리 뒤에 1024 바이트 이상의 문자열을 명시하여, 문자열을 복사하는 과정에서 버퍼 오버플로우를 발생시키고 스택 속에 저장된 리턴 주소값을 공격자의 쉘코드(Shellcode)가 위치한 곳을 가리키도록 덮어쓴다.
02005A84 CALL in_mp3.02028C90 ** Overflow 위치
공격자들은 iframe 태그 속에 악의적인 "crafted.pls" 파일을 삽입하는 방법으로 해당 취약점을 도용할 수 있다. 사용자가 이 악의적인 페이지를 방문하게 되면 파일이 자동으로 다운로드되어 WinAmp 프로그램을 통해 사용자의 시스템에서 실행된다.
* Winamp pls file Buffer Overflow Vulnerability (CVE-2005-3188)
◈ 차단정보
트러스가드(TrusGuard)는 해당 취약점의 알려진 공격에 대응하고 있다.
◈ 해결책
해당 제품의 벤더인 NullSoft사에서 제공하는 WinAmp 버전 5.13 이상의 버전으로 업그레이드하여야 한다.
또한, NullSoft사에서는 프로그램 실행 시 최신 버전으로 업그레이드를 위한 권고 메시지와 유도 절차를 제공하고 있다.
NullSoft WinAmp Download(영문)
http://www.winamp.com/player/
