CERT-FI haavoittuvuustiedote 018/2006

24.3.2006

Haavoittuvuuksia RealNetworks -ohjelmistoissa

Kohde:	- työasemat ja loppukäyttäjäsovellukset	Lisätietoja
Hyökkäystapa:	- paikallisesti - ilman kirjautumista - etäkäyttö	Lisätietoja
Hyväksikäyttö:	- komentojen mielivaltainen suorittaminen	Lisätietoja
Ratkaisu:	- korjaava ohjelmistopäivitys	Lisätietoja

Ensimmäinen haavoittuvuus on SWF-tiedostojen käsittelyssä tapahtuva puskurin ylivuoto. Haavoittuvuutta hyväksikäyttämällä hyökkääjän on mahdollista suorittaa kohdetietojärjestelmässä omia komentojaan.

Toinen haavoittuvuus on tietyllä tavalla muokattujen www-sivujen käsittelyssä tapahtuva ylivuoto. Haavoittuvuutta hyväksikäyttämällä hyökkääjän on mahdollista suorittaa kohdetietojärjestelmässä omia komentojaan.

Kolmas haavoittuvuus on MBC-tiedostojen käsittelyssä tapahtuva puskurin ylivuoto. Haavoittuvuutta hyväksikäyttämällä hyökkääjän on mahdollista suorittaa kohdetietojärjestelmässä omia komentojaan.

Neljäs haavoittuvuus on ulkoisten ohjelmien käynnistyksessä väärällä tavalla käytetty Windows-rajapintakutsu. Haavoittuvuutta hyväksikäyttämällä hyökkääjän voi olla mahdollista suorittaa kohdetietojärjestelmässä omia komentojaan.

HAAVOITTUVAT OHJELMISTOT:

• RealPlayer versio 10.x

Tarkka listaus haavoittuvista ohjelmistoista ja ohjelmistoversioista on saatavilla valmistajan kotisivuilta osoitteesta http://service.real.com/realplayer/security/03162006_player/en/

RATKAISU- JA RAJOITUSMAHDOLLISUUDET:

Päivitä haavoittuva ohjelmisto valmistajan ohjeiden mukaisesti:

http://service.real.com/realplayer/security/03162006_player/en/

LISÄTIETOA:

http://service.real.com/realplayer/security/03162006_player/en/

http://secunia.com/advisories/19358/

CVE-2005-2922 CVE-2005-2936 CVE-2006-0323

PÄIVITYSHISTORIA:

24.03.2006: Julkaistu

Sivua päivitetty 11.03.2007

Tulostusversio