Le fiasco vire à la tragédie pour SonyBMG. Puisqu’un malheur n’arrive jamais seul, SunnComm MediaMax vient d’alerter la terre entière pour un problème de sécurité épineux sur une récente rustine.

SunComm MediaMax est un fournisseur de verrous anticopie concurrent de XCP. SonyBMG fait appel à l’une et l’autre de ces technologies pour cadenasser les usages des clients et gérer notamment le nombre de copies possibles. Alors que XPC a plongé SonyBMG dans un consternant échec avec l’usage de rootkits (voir nos actualités relatives, dont celle-ci), une couche de problèmes supplémentaire survient cette fois de chez SunComm MediaMax.

L’EFF (Electronic Frontier Foundation) avait déjà noté de graves ennuis avec MediaMax : inclu dans plus de 20 millions de pressages SonyBMG, ce logiciel s’installe depuis le CD musical même lorsque les clients cliquent sur «non» lorsqu’on leur demande s’ils acceptent la licence d’utilisation, prévient l’EFF. Il n’y a pas davantage de moyens pour le désinstaller sauf de contacter Mediamax et de donner des informations personnelles. De plus, et alors même que la licence indique le contraire, des données sont transmises entre le PC de l’usager et SunnComm via Internet. Ceci « permet de traquer les habitudes de consommation » estime l’association.

Mais ce n’est pas tout. Cette semaine, l’EFF a noté la présence d’une faille de sécurité dans ce cadenas, sous Windows. La version concernée touche "'seulement" 6 millions de pressages SonyBMG et une rustine est déjà disponible pour les systèmes concernés. On pourra la télécharger sur cette page officielle qui indique également comment désinstaller en ligne le verrou (via Internet Explorer 6), si l'on ne souhaite plus écouter le disque sur son PC. La faille, qui affecte spécialement l’exécutable MMX.exe, permet en pratique à un utilisateur local ou un programme d'élever ses privilèges via un dossier installé par Mediamax. Elle a été découverte par ISEC Partners, une société consultante en sécurité mandatée par l'EFF (voir l'explication publique, sur PDF).

Elvis Presley, Foo Fighter, Santana, Tears For Fears, The Stroke, etc. sont quelques-uns des titres concernés (voir la liste officielle). Outre SonyBMG, une trentaine d’autres labels ont été séduits par le cadenas MediaMax. On ignore à cet instant si le bug touche ces autres sociétés. Ce qui est plus certain, c'est que l’alerte intervient alors que Suncomm avait annoncé fièrement présenter en janvier dernier l'étendu de son programme : sa technologie protégeant les CD a été implantée en 2005 dans plus de 145 millions de CD musicaux.