RealPlayer-Update behebt drei Sicherheitslücken
Präparierte Skin- oder RealMedia-Dateien können in verschiedenen Versionen des RealPlayers einen Stapelüberlauf verursachen und geben dem Angreifer damit die Möglichkeit, beliebigen Programmcode auf dem fremden System auszuführen. Dabei wird durch ein geändertes erstes Datenpaket der RealMedia-Datei-Speicherinhalt überschrieben, was einen Stapelüberlauf erzeugt und es ermöglicht, beliebigen Programmcode auszuführen. Eine ähnliche Sicherheitslücke betrifft Skin-Dateien.
Ein weiteres Problem kann bei gepackten Skin-Dateien auftreten. Diese RJS-Dateien können ohne Bestätigung des Nutzers heruntergeladen und geöffnet werden. Es handelt sich um per ZIP komprimierte Grafikdateien und eine INI-Datei, die über die Komprimierungsbibliothek DUNZIP32.DLL entpackt werden. Eine präparierte Datei erzeugt beim Entpacken einen Heap Overflow, wodurch ebenfalls beliebiger Programmcode ausgeführt werden kann.
Die Sicherheitslücken betreffen eine Reihe von RealPlayer-Versionen für die Plattformen Windows, Linux und MacOS X. In den Linux- und MacOS-X-Ausführungen steckt allerdings nur das Sicherheitsloch bei der Verarbeitung der RealMedia-Dateien.
Laut der IT-Sicherheitsfirma eEye(öffnet im neuen Fenster) sind RealNetworks die Sicherheitslücken bereits seit Juni bekannt, so dass es mehr als vier Monate gedauert hat, bis die Sicherheitslöcher nun geschlossen werden.
RealNetworks bietet ab sofort über ein entsprechendes Sicherheitsdokument(öffnet im neuen Fenster) Patches für die betroffenen RealPlayer-Versionen zum Download an.