Secunia rapporterer om at det er blitt funnet en sårbarhet i musikkprogramvaren Winamp fra Nullsoft, som kan utnyttes av ondsinnede til å få tilgang til en brukers system.
Sårbarheten skyldes mangelfulle begrensninger av skin-zipfilene (.wsz) til Winamp. Dette skal kunne utnyttes blant annet av et ondsinnet nettsted gjennom et spesielt utformet Winamp-skin til å plassere og kjøre vilkårlig kode. Vises websiden i Internet Explorer, skal det hele kunne gjøres uten "hjelp" fra brukeren.
Ifølge Secunia skal et XML-dokument i en Winamp-skinfil kunne referere til et HTML-dokument ved hjelp "browser"-taggen og få det til å kjøre i "Local computer zone". Dette kan utnyttes til å kjøre et vilkårlig program integrert i Winamp-skinfilen ved å bruke "object"-taggen og "codebase"-attributtet.
Det er blitt rapportert at sårbarheten utnyttes aktivt på Internett.
Sårbarheten er bekreft i systemer med Winamp 5.04 og Internet Explorer 6.0 på Windows XP med Service Pack 1. Trolig finnes sårbarheten også i eldre utgaver av Winamp. Om installasjon av Service Pack 2 for Windows XP har noen betydning, er ikke oppgitt.
Noen fiks som tetter sikkerhetshullet er foreløpig ikke tilgjengelig.
