A NGS Software, empresa
especializada em segurança informática, detectou três vulnerabilidades do
tipo buffer overrun no software leitor de conteúdos multimédia
RealPlayer, bem como na sua actualização RealOne, desenvolvido pela Real Networks e que conta
actualmente com 115 milhões de utilizadores em todo o mundo.

Estas falhas de segurança criam uma forma para potenciais atacantes de
introduzirem código informático hostil em computadores baseados no sistema
operativo Windows de vítimas que foram induzidas a executar ficheiros
multimédia construídos para fins maliciosos. Tal como noutras falhas de
buffer overrun - que são normalmente atribuídas a erros de programação
- pode ser executado código hostil como se fosse um utilizador registado a
controlar a máquina.

As versões afectadas do software são o RealOne Player, o RealOne V2 Player e o
anterior RealPlayer. A primeira falha de buffer overrun foi encontrada
num ficheiro .smil onde existe um grande número de caracteres sob a forma de
metadados relativos a esse ficheiro. Isto faz com que o leitor de conteúdos
multimédia vá abaixo quando tenta reproduzir esse ficheiro.

A segunda vulnerabilidade de segurança consiste num problema com grandes nomes
de ficheiros. De acordo com a Real Networks, o software vai abaixo se
um utilizador clicar no botão direito do rato por cima da frase "Now Playing"
no interface gráfico da aplicação e seleccionar a opção de editar a
informação sobre o clip ou a opção que permite copiar o ficheiro para
a biblioteca de ficheiros do utilizador.

A falha mais grave das três é descrita como sendo um erro de análise no código
do software associado ao carregamento de fontes dentro de
apresentações RealPlayer. Esta vulnerabilidade poderia ser, em termos
teóricos, utilizada por potenciais atacantes para afectar adversamente os
utilizadores, avisou a RealNetworks.

Todas as três vulnerabilidades foram detectadas pela NGS Software, que
notificou a produtora do software no dia 1 de Novembro. Esta por seu
lado, emitiu no dia 20 um aviso e códigos de correcção para resolver o problema.
Contudo, de acordo com Mark Litchfield, da NGS Software, estes patches
ainda não resolvem o problema.

Notícias Relacionadas
2002-11-21 - Software para a Web da Microsoft contém falha de
segurança grave
2001-08-02 - Code
Red infecta 150 mil endereços IP