Vulnérabilités
Attaque combinée contre Real Player et Internet Explorer.
Par Jerome Saiz, le 02 fév 2005 à 19:35:00.
C'est du travail d'équipe : en combinant une faille dans le lecteur audio Real Player et une autre dans Internet Explorer, un pirate est en mesure de prendre le contrôle du PC à la lecture d'un simple fichier audio. Un exploit a été publié sur le web pour démontrer cette attaque rondement menée.
Décidément, écouter de la musique devient périlleux : après les listes de lecture piégées d'iTunes et les fichiers Windows Media Player sabotés, il faudra désormais aussi se méfier des fichiers musicaux Real Audio. Un exploit vient en effet d'être publié afin de montrer comment la simple lecture d'un fichier .rm permet d'exécuter un fichier piégé sur le disque dur du mélomane un peu trop confiant.
L'attaque exploite deux vulnérabilités, l'une déjà connue dans Internet Explorer et l'autre tout juste découverte dans Real Player. La combinaison des deux failles permet au pirate de déposer le fichier de son choix sur le disque dur de sa victime avant de le faire exécuter.
S'il est possible d'empêcher la contribution d'Internet Explorer en appliquant les derniers correctifs ou en interdisant le glisser-déposer, la vulnérabilité de Real Player demeure. Elle permet notamment de forcer le lecteur à ouvrir n'importe quel fichier local potentiellement dangereux. D'autres attaques pourraient donc très bien tenter d'en tirer profit à l'avenir.
Il n'existe pas de correctif à cette faille là. Il est donc conseillé d'éviter provisoirement l'ouverture de fichiers .rm et d'interdire l'exécution automatique de ces derniers au sein du navigateur. En attendant que Real Networks ne se décide à la corriger.
Plus d'information
- L'alerte chez Secunia (en anglais).
Cartes blanches
Rien ne semble changer en matière de risques et sécurité dans le monde bancaire. Constat désabusé et inquiet d'un RSSI du secteur.
Alors qu'OpenID attise l'intérêt des géants de l'informatique, l'acquisition de Credentica par Microsoft laisse augurer d'une possible guerre des « standards » en matière de gestion des identités sur le Web.
Le risque induit par un nouveau projet peut mettre en danger l'entreprise. Une analyse de risque en amont est indispensable.
Les plus lus
Les thématiques
DNS : le pire a été évitéLes botnets se mettent au Web 2.0Faille DNS : ça patche !Hébergement web : les serveurs dédiés victimes d'abusAT&T victime de la faille DNS de KaminskyDécès de Christophe PipparelliUne vulnérabilité zero-day exploitée dans Microsoft Office AcesssKraken, le poids-lourd des botnetsUne vulnérabilité PDF pour les BlackBerryAvi Chesla : "La nouvelle vague de bots passe à l'Ajax"
espace partenaires
Livres Blancs
Guides
Le Guide Sécurité & Stockage 2009, c'est 290 pages consacrées au marché et à ses acteurs, et 300 entreprises référencées.
