『RealPlayer』にバッファオーバーフローの脆弱性

この記事のURLhttp://japan.internet.com/webtech/20040614/11.html

RealNetworks (NASDAQ:RNWK) の主力ソフトウェア『RealPlayer』に、バッファオーバーフローの脆弱性が見つかった。同社はセキュリティ勧告の中で、任意コード実行のおそれがあると警告している。

同脆弱性は、『RealOne Player』『RealOne Player v2』『RealPlayer 10』『RealPlayer 8』『RealPlayer Enterprise』に存在する。

同脆弱性を発見し RealNetworks に報告した eEye Digital Security によれば、RealPlayer を介して、攻撃者がヒープ領域を書き換え、悪意あるコードを実行するおそれがあるという。

eEye はセキュリティ勧告の中で、「同脆弱性は、RealPlayer が利用するプログラムモジュール『embd3260.dll』に存在する。異常形式の動画ファイルを HTML ファイルに埋め込む形で再生させることにより問題が発生して、ヒープ領域を直接書き換えることができ、ほぼ確実にコードを実行できる」と述べている。

セキュリティ会社 iDEFENSE も10日、ピリオドを多数用いて細工した URL を含む RAM ファイルにより、RealPlayer にバッファオーバフローが発生するとのセキュリティ勧告を公開した。

各社の脆弱性情報は、RealNetworks の対応を待って公開したもので、同社は自身のセキュリティ勧告の中で、プレーヤーソフトを対応版へ更新するよう促している。