Quando si scarica dalla Rete una skin del Windows Media Player tramite Explorer, questo lancia WMP passando il parametro "/layout" per fare sì che esso installi il file nella cartella delle skin. Il nome del file viene modificato in modo casuale e gli viene attribuita estensione "WMZ" qualora ne sia privo, con l'obiettivo di impedire all'attaccante di forzare il nome del file in modo da poterlo individuare successivamente.

Peccato che WMP non verifichi correttamente la sintassi dell'URL della skin: l'attaccante può aggirare le precauzioni descritte modificando opportunamente alcuni parametri dello header HTTP e codificando in esadecimale le backslash presenti nel nome del file. Il risultato è, in sostanza, la possibilità di collocare un file eseguibile nella locazione di filesystem prescelta. Come Jouko Pinnonen, scopritore della falla, spiega su Bugtraq, l'attaccante potrebbe, ad esempio, installare una DLL: se la locazione è scelta opportunamente, essa verrà automaticamente utilizzata dallo stesso Explorer o da altri programmi.

Oppure potrebbe essere collocato un file eseguibile nella cartella "Avviamento Automatico" di Windows: i possibili vettori sono numerosi.

La falla è stata segnalata il 14 marzo 2003 a Microsoft, che ha finalmente rilasciato la patch per WMP 7 e WMP 8. La versione 9 e quelle precedenti la 7 non sono affette dalla vulnerabilità descritta.

Grazie a Massimo Nespolo per la segnalazione.