Bulletin d'alerte du CERT-FR

Json

Objet : Vulnérabilité de HelixPlayer et RealPlayer

Gestion du document

Référence CERTA-2005-ALE-011
Titre Vulnérabilité de HelixPlayer et RealPlayer
Date de la première version27 septembre 2005
Date de la dernière version10 octobre 2005
Source(s) Bulletin de sécurité Secunia SA16954 du 27 septembre 2005

Une gestion de version détaillée se trouve à la fin de ce document.

Risque

  • Exécution de code arbitraire à distance

Systèmes affectés

  • HelixPlayer versions 1.0.5.757 et antérieures ;
  • RealPlayer versions 10.0.5.756 (gold) et antérieures.

Résumé

Une vulnérabilité dans HelixPlayer et RealPlayer permet à un utilisateur distant d'exécuter du code arbitraire.

Description

Une vulnérabilité dans la fonction d'affichage du message invalid-handle error permet à un utilisateur distant mal intentionné d'exécuter du code arbitraire par le biais d'un site web mettant à disposition un fichier avec l'extension .rp ou .rt malicieusement constitué. Remarque : L'exploitation de cette vulnérabilité n'est possible que sur les systèmes GNU/Linux.

Contournement provisoire

Ne pas utiliser RealPlayer ou HelixPlayer pour visionner des fichiers d'extensions .rp ou .rt.

Solution

Se référer aux bulletins de sécurité des éditeurs pour appliquer les correctifs appropriés (cf. Documentation).

Documentation

Gestion détaillée du document

Date Description
27 septembre 2005 version initiale.
28 septembre 2005 ajout d'une section Solution, des sites Internet de RealPlayer et HelixPlayer, des références aux bulletins de sécurité Fedora et RedHat RHSA-2005:788 et de la référence CVE CAN-2005-2710.
10 octobre 2005 ajout des références aux bulletins de Debian et Gentoo.
Haut de page

Paramètres d'affichage

Choisissez un thème pour personnaliser l'apparence du site.