Das BSI (Bundesamt für Sicherheit in der Informationstechnik) hat in seinen aktuellen Gefährdungshinweisen über das BürgerCERT auch Anmerkungen zu dem Filesharing Client uTorrent und dem VCL Media Player veröffentlicht. In beiden Fällen wird geraten auf die neusten Version upzugraden, da die älteren Version Sicherheitslücken aufweisen, mit denen Angreifer eventuell Schadcode einschleusen könnten.

Hintergrund für diese Warnung sind Probleme beim Umgang mit .dll Dateien unter Windows. Diese werden häufig fehlerhaft eingebunden und sind dann ein Sicherheitsrisiko. Das BSI schreibt dazu in den Mails:

In diversen Microsoft Windows Komponenten besteht eine Schwachstelle
bei der Pfadsuche nach Programmbibliotheken (DLL-Dateien) [2].

Ursache der Schwachstelle ist, dass manche Anwendungen keine
vollstaendige Pfadbezeichnung nutzen, wenn eine angreifbare DLL-Datei
aufgerufen wird. In diesem Fall durchsucht das Betriebssystem in einer
festgelegten Reihenfolge Verzeichnisse nach dieser DLL-Datei. Dieses
kann ein Angreifer durch Bereitstellen entsprechend praeparierter DLL
dazu nutzen, um beliebigen Code mit den Privilegien des Angegriffenen
zur Ausfuehrung zu bringen. Der Angreifer muss einen Benutzer jedoch
zunaechst dazu bringen, eine Anwendung in einem Verzeichnis (z. B.
WebDAV Share im Internet) auszufuehren, die dann auf eine praeparierte
DLL-Datei zugreift.

Leider wird diese Sicherheitslücke auch bereits aktiv ausgenutzt.

Die neuen Version des VCL Players und des Torrent Clients schließen diese Lücke. Ein globaler Workaround für diese Problematik steht allerdings noch aus. Bislang gibt es für viele Anwendungen auch noch keine neuen Versionen die mehr Sicherheit versprechen könnten.