Патч от RealNetworks не устраняет дыры в RealPlayer, Hi-Tech

Компьюлента. 28 ноября 2002 года, 18:44

Патч, выпущенный RealNetworks для устранения "дыр" в программах RealOne Player и RealPlayer, является бесполезным, заявил Марк Личфилд, разработчик средств защиты информации британской компании Next Generation Security Software.

Обнаруженные уязвимости позволяют злоумышленнику взять под контроль компьютер, воспроизводящий измененные файлы формата Real Audio. Первые две "дыры" связаны с некорректной обработкой RealPlayer длинных имен файлов. Они приводят к "падению" плеера, не предоставляя злоумышленнику удаленного доступа к системе. Третья дыра, связанная с ошибками в обработке слишком длинных URL, даёт злоумышленнику возможность запустить на компьютере жертвы произвольный программный код. По сообщению NGSS, все дыры в RealPlayer представляют достаточно серьезную опасность.

Пока ни RealNetworks, ни фирмам, занимающимся проблемами компьютерной безопасности, не известно ни одного реального случая использования дыр в RealPlayer. RealNetworks попыталась "залатать" дыры, выложив на свой сайт патч, однако, по словам Личфилда, тот не устраняет обнаруженные программные недостатки. Он утверждает, что проблема переполнения буфера, вызываемая ошибками при обработке слишком длинных URL, по-прежнему не решена.

Хотя ему так и не удалось продемонстрировать возможности атаки посредством переполнения буфера для запуска "враждебного" кода, RealNetworks поспешила заявила, что новая "заплатка" будет создана в самое ближайшее время.