S.G.D.S.N

Agence nationale
de la sécurité des
systèmes d'information

Paris, le 09 février 2004
N° CERTA-2004-AVI-024
Affaire suivie par: CERT-FR

Avis du CERT-FR

Objet: Vulnérabilités de RealOne Player

Gestion du document

Référence CERTA-2004-AVI-024
Titre Vulnérabilités de RealOne Player
Date de la première version09 février 2004
Date de la dernière version09 février 2004
Source(s) Avis de sécurité NGSSoftware #NISR04022004a
Pièce(s) jointe(s) Aucune(s)
Tableau 1: Gestion du document

Une gestion de version détaillée se trouve à la fin de ce document.

Risque

  • Exécution de code arbitraire à distance

Systèmes affectés

  • RealOne Enterprise Desktop ou RealPlayer Enterprise.
  • RealOne Player ;
  • RealOne Player v2 ;
  • RealPlayer 10 Beta (anglais uniquement) ;
  • RealPlayer 8 (toutes les versions localisées) ;

Résumé

Plusieurs problèmes de sécurité dans RealPlayer permettent à un utilisateur mal intentionné d'exécuter du code arbitraire à distance.

Description

RealPlayer est un lecteur multimédia développé par RealNetworks (real.com). Plusieurs problèmes ont été découverts permettant à un utilisateur mal intentionné de :

  • exécuter des scripts JavaScript distants depuis le domaine de l'URL ouverte par un fichier SMIL ou un autre fichier ;
  • créer des fichiers medias malicieusement construit afin de télécharger et d'exécuter du code arbitraire.

Solution

Mettre à jour selon les recommandations de l'éditeur (cf. section Documentation). Site internet de téléchargement de RealPlayer :

http://forms.real.com/real/player/blackjack.html

Documentation

Gestion détaillée du document

    le 09 février 2004
    version initiale.