#######################################################################

                             Luigi Auriemma

Applicazione: DivX Player
              http://www.divx.com/divx/player/
Versioni:     <= 2.6
Piattaforme:  Windows
Bug:          sovrascrittura arbitraria di files attraverso le skin
Exploitation: locale (o remoto tramite browser)
Data:         21 Gen 2005
Autore:       Luigi Auriemma
              e-mail: aluigi@autistici.org
              web:    aluigi.org


#######################################################################


1) Introduzione
2) Bug
3) The Code
4) Fix


#######################################################################

===============
1) Introduzione
===============


Come il nome suggerisce, DivX Player e' un player di files DivX che
gira su Windows.
Esso e' distribuito di default nel codec DivX distribuito da
DivXNetworks.


#######################################################################

======
2) Bug
======


Le skins usate da DivX Player sono dei semplici file zip contenenti
tutte le immagini necessarie ed un file script.

Quando il player carica una skin, scompatta lo zip in una cartella
avente lo stesso nome del file DPS situata nella directory temporanea
di sistema.

Un attacker puo' sovrascrivere i files sul disco della vittima ove
risiede la cartella temporanea (di solito in c:) usando la classica
tecnica per sfruttare il directory traversal bug come:

  ..\..\..\..\windows\notepad.exe

Possono essere usati sia lo slash che il backslash.


#######################################################################

===========
3) The Code
===========


  http://aluigi.org/poc/divxplayerbug.zip

Sovrascrive/crea il file c:\folder\divxplayerbug.txt

Comunque creare i file zip per sfruttare la vulnerabilita' e' davvero
molto semplice in quanto basta soltanto modificare il nome dei files
nella directory centrale del file zip (praticamente la parte finale).


#######################################################################

======
4) Fix
======


No fix.
Nessuna risposta dagli sviluppatori.


#######################################################################