RealPlayer-Update behebt drei Sicherheitslücken

Angreifer können beliebigen Programmcode ausführen

In etlichen Versionen des RealPlayers stecken gefährliche Sicherheitslücken, die das Ausführen beliebigen Programmcodes auf einem fremden System ermöglichen. Dazu genügt es, Anwender zum Öffnen einer manipulierten Skin- oder RealMedia-Datei zu bewegen. RealNetworks hat bereits Updates zur Behebung der Probleme veröffentlicht.

Artikel veröffentlicht am , Julius Stiebert

Präparierte Skin- oder RealMedia-Dateien können in verschiedenen Versionen des RealPlayers einen Stapelüberlauf verursachen und geben dem Angreifer damit die Möglichkeit, beliebigen Programmcode auf dem fremden System auszuführen. Dabei wird durch ein geändertes erstes Datenpaket der RealMedia-Datei-Speicherinhalt überschrieben, was einen Stapelüberlauf erzeugt und es ermöglicht, beliebigen Programmcode auszuführen. Eine ähnliche Sicherheitslücke betrifft Skin-Dateien.

Stellenmarkt
  1. Cloud Engineer API-Management (m/w/d)
    Techniker Krankenkasse, Hamburg
  2. IT Generalist
    atrain GmbH, Bamberg (Home-Office)
Detailsuche

Ein weiteres Problem kann bei gepackten Skin-Dateien auftreten. Diese RJS-Dateien können ohne Bestätigung des Nutzers heruntergeladen und geöffnet werden. Es handelt sich um per ZIP komprimierte Grafikdateien und eine INI-Datei, die über die Komprimierungsbibliothek DUNZIP32.DLL entpackt werden. Eine präparierte Datei erzeugt beim Entpacken einen Heap Overflow, wodurch ebenfalls beliebiger Programmcode ausgeführt werden kann.

Die Sicherheitslücken betreffen eine Reihe von RealPlayer-Versionen für die Plattformen Windows, Linux und MacOS X. In den Linux- und MacOS-X-Ausführungen steckt allerdings nur das Sicherheitsloch bei der Verarbeitung der RealMedia-Dateien.

Laut der IT-Sicherheitsfirma eEye sind RealNetworks die Sicherheitslücken bereits seit Juni bekannt, so dass es mehr als vier Monate gedauert hat, bis die Sicherheitslöcher nun geschlossen werden.

Golem Karrierewelt
  1. Container Technologie: Docker und Kubernetes - Theorie und Praxis: virtueller Drei-Tage-Workshop
    27.-29.09.2022, virtuell
  2. First Response auf Security Incidents: Ein-Tages-Workshop
    14.11.2022, Virtuell
Weitere IT-Trainings

RealNetworks bietet ab sofort über ein entsprechendes Sicherheitsdokument Patches für die betroffenen RealPlayer-Versionen zum Download an.

Bitte aktivieren Sie Javascript.
Oder nutzen Sie das Golem-pur-Angebot
und lesen Golem.de
  • ohne Werbung
  • mit ausgeschaltetem Javascript
  • mit RSS-Volltext-Feed


Aktuell auf der Startseite von Golem.de
Manipulierte Ausweise  
CCC macht Videoident kaputt

Hinter dem Stopp von Videoident-Verfahren bei den Krankenkassen steckt ein Hack des Chaos Computer Clubs. Der Verein fordert weitere Konsequenzen.

Manipulierte Ausweise: CCC macht Videoident kaputt
Artikel
  1. Sicherheitssysteme: Tesla Model 3 erkennt Kinder-Dummy mehrfach nicht
    Sicherheitssysteme
    Tesla Model 3 erkennt Kinder-Dummy mehrfach nicht

    Tesla scheint keine Kinder auf der Fahrbahn zu erkennen. Dreimal wurde ein Dummy überfahren.

  2. Peripheriegeräte: Mechanische Tastatur hat integrierten 12,6-Zoll-Touchscreen
    Peripheriegeräte
    Mechanische Tastatur hat integrierten 12,6-Zoll-Touchscreen

    Die Ficihp K2 kann über USB-C als Tastatur und zusätzlicher Bildschirm genutzt werden - mit mechanischen Schaltern und USB-Hub.

  3. Datenschutz bei Whatsapp etc.: Was bei Messengerdiensten zu beachten ist
    Datenschutz bei Whatsapp etc.
    Was bei Messengerdiensten zu beachten ist

    Datenschutz für Sysadmins In einer zehnteiligen Serie behandelt Golem.de die wichtigsten Themen, die Sysadmins beim Datenschutz beachten müssen. Teil 1: Whatsapp & Co.
    Eine Anleitung von Friedhelm Greis

Du willst dich mit Golem.de beruflich verändern oder weiterbilden?
Zum Stellenmarkt
Zur Akademie
Zum Coaching
  • Schnäppchen, Rabatte und Top-Angebote
    Die besten Deals des Tages
    Daily Deals • Günstig wie nie: Samsung SSD 2TB Heatsink (PS5) 219,99€ • ebay Re-Store bis -50% gg. Neupreis • Grafikkarten zu Tiefpreisen (Gigabyte RTX 3080 12GB 859€) • MSI-Sale: Gaming-Laptops/PCs bis -30% • Sharkoon PC-Gehäuse -53% • Philips Hue -46% • Der beste Gaming-PC für 2.000€ [Werbung]
    •  /