Coordinación de Seguridad de la Información

Coordinación de Seguridad de la Información

Información y servicios de seguridad en cómputo

1 2 3 4 5 6 7

Vulnerabilidades rss pdf

Coordinación de Seguridad de la Información - UNAM-CERT -- DGTIC-UNAM

Vulnerabilidad de Seguridad UNAM-CERT-2005-251 Múltiples vulnerabilidades en RealOne / RealPlayer / Helix Player / Rhapsody

Se reportarón varias vulnerabilidades en RealOne, realPlayer, Helix Player y Rhapsody, las cuales pueden explotarse para sobreescribir archivos locales o comprometer el sistema de un usuario.

  • Fecha de Liberación: 24-Jun-2005
  • Fuente:

    real Customer support
    050623_player

  • CVE ID: CAN-2005-1277
  • Riesgo Altamente crítico
  • Problema de Vulnerabilidad Remoto
  • Tipo de Vulnerabilidad Buffer overflow

Sistemas Afectados

Helix Player 10
RealOne Player == v1
RealOne Player == v2
RealPlayer 10.5
RealPlayer == Enterprise
Rhapsody == 3
  1. Descripción

    Se reportarón varias vulnerabilidades en RealOne, realPlayer, Helix Player y Rhapsody, las cuales pueden explotarse por personas maliciosas para sobreescribir archivos locales o comprometer el sistema de un usuario.

    1) Un error no especificado puede explotarse para sobreescribir archivos locales o ejecutar un control de ActiveX dentro del sistema de un usuario via un archivo MP3 malicioso.

    2) Un error de frontera en la función "CRealTextFileFormat::ReadDone()" cuando procesa flujos de RealText puede explotarse para ocasionar un desbordamiento de memoria en el área de heap via un archivo de realMedia malicioso.

    Una explotación exitosa permitirá la ejecución de código arbitrario.

    3) Un error de frontera en el procesamiento de archivos de películas AVI puede explotarse para ocasionar un desbordamiento de memoria en el área de heap via una película AVI maliciosa.

    Una explotación exitosa permitirá la ejecución de código arbitrario.

    4) Un error no especificado puede explotarse por un sitio web malicioso para crear localmente en el sistema de un usuario un archivo HTML y luego activar un archivo RM que haga referencia a dico archivo HTML.

    Una explotación exitosa requiere que un usuario abra un archivo MP3, RealMedia o AVI malicioso, o visite un sitio web malicioso que provoque al navegador del usuario a descargar automáticamente el archivo malicioso.

    Los siguientes productos son afectados por alguna o todas las vulnerabilidades:

    * RealPlayer 10.5 (6.0.12.1040-1069)
    * RealPlayer 10
    * RealOne Player v2
    * RealOne Player v1
    * RealPlayer 8
    * RealPlayer Enterprise
    * Mac RealPlayer 10 (10.0.0.305 - 331)
    * Mac RealOne Player
    * Linux RealPlayer 10 (10.0.0 - 4)
    * Helix Player (10.0.0 - 4)
    * Rhapsody 3 (build 0.815 - 0.1006)
    
  2. Impacto

    Manipulación de Datos.

    Acceso al sistema.

  3. Solución

    Aplicar actualizaciones.

    RealOne / RealPlayer para Windows y Mac:
    Las actualizaciones estan disponibles via "Check for Update".

    RealPlayer Enterprise:
    http://service.real.com/help/faq/security/security062305.html

    RealPlayer 10 para Linux:
    http://www.real.com/linux

    Helix Player for Linux:
    http://player.helixcommunity.org/downloads/

    Rhapsody:
    Para obtener el software actualizado automaticamente basta con ingresar a la aplicación.

  4. Apéndices

    Mayor información:

    RealNetworks:
    http://service.real.com/050623_player/
    http://www.service.real.com/security062305/

    iDEFENSE:
    http://www.idefense.com/

    eEye Digital Security:
    http://www.eeye.com/

La Coordinación de Seguridad de la Información/UNAM-CERT agradece el apoyo en la elaboración ó traducción y revisión de éste Documento a:

  • Floriberto López Velázquez (flopez at seguridad dot unam dot mx)

UNAM-CERT
Equipo de Respuesta a Incidentes UNAM
Coordinación de Seguridad de la Información

incidentes at seguridad.unam.mx
phishing at seguridad.unam.mx
http://www.cert.org.mx
http://www.seguridad.unam.mx
ftp://ftp.seguridad.unam.mx
Tel: 56 22 81 69
Fax: 56 22 80 47


Universidad Nacional Autonoma de México AENOR LOGO FIRST LOGO Aviso legal |  Créditos |  Staff |  Acerca |  Contacto |  FTP |  Administración
Copyright © Todos los derechos reservados
UNAM - CERT