Encore des failles dans la famille RealPlayer !

Plusieurs vulnérabilités critiques ont été identifiées dans RealPlayer et RealOne Player, elles pourraient être exploitées par des attaquants distants afin de compromettre un système vulnérable.

Le premier problème résulte d'une erreur de type stack overflow présente au niveau de la gestion de certains fichiers Real Media contenant des données malformées, ce qui pourrait être exploité par des attaquants afin d'exécuter des commandes arbitraires distantes en incitant un utilisateur à visiter une page web malicieuse contenant un fichier ".rm" spécialement conçu.

La seconde faille est due à une erreur de type stack overflow présente au niveau de la librairie "DUNZIP32.DLL" qui ne gère pas correctement des fichiers skins malformés, ce qui pourrait être exploité par des attaquants afin d'exécuter des commandes arbitraires en incitant un utilisateur à visiter une page web contenant un fichier ".rjs" malicieux.

La troisième vulnérabilité résulte d'une erreur inconnue de type stack overflow présente au niveau de la gestion des skins, ce qui pourrait être exploité par des attaquants afin de compromettre un système vulnérable via un fichier ".rjs" spécialement conçu.

Versions Vulnérables

RealPlayer 10.5 (6.0.12.1040-1235)
RealPlayer 10
RealOne Player v2
RealOne Player v1
RealPlayer 8
RealPlayer Enterprise 1.1
RealPlayer Enterprise 1.2
RealPlayer Enterprise 1.5
RealPlayer Enterprise 1.6
RealPlayer Enterprise 1.7
Mac RealPlayer 10 (10.0.0.305 - 331)
Linux RealPlayer 10 (10.0.0 - 5)
Helix Player (10.0.0 - 5)

Solution

Correctif pour RealPlayer 10.5 (Windows) :
http://service.real.com/help/faq/security/051110_player/EN/win32patch.rnx

Correctif pour RealPlayer 8, RealOne Player (anglais), RealOne Player V2, et RealPlayer 10 (Windows) :
http://service.real.com/help/faq/security/051110_player/EN/player.rnx

Mise à jour pour RealPlayer Enterprise :
http://docs.real.com/docs/entinst.exe

Mise à jour pour RealPlayer 10 (Mac OS X) :
http://www.real.com/upgrade/mac_upgrade.html

Mise à jour pour RealPlayer 10 (Linux) :
http://www.real.com/linux

Mise à jour pour Helix Player (Linux) :
http://player.helixcommunity.org/downloads/

Commenter cette news ou lire les commentaires