RealNetworks “bít” lỗ hổng nghiêm trọng cho RealPlayer

Ngày hôm qua, RealNetworks đã cho ban hành một bản cập nhật ứng dụng đa phương tiện truyền thông RealPlayer của hãng này nhằm vá hai lỗ hổng bảo mật nghiêm trọng cho phép tin tặc từ xa có thể chạy các đoạn mã nguy hiểm trên máy tính của người sử dụng.

Trên thực tế, những lỗi bảo mật này đã được thông báo cho phép RealNetworks từ hơn 4 tháng trước. Tin tặc hoàn toàn có thể lợi dụng những lỗ hổng bảo mật này nhằm chiếm quyền điều khiển toàn bộ máy tính của người sử dụng. Nhưng phải đến tận hôm nay RealNetworks mới cho vá lỗ hổng này.

eEye Digital Security là hãng đã phát hiện ra những lỗ hổng bảo mật này trong ứng dụng đa phương tiện truyền thông RealPlayer. Đây được xem là lỗi bảo mật nguy hiểm nhất tồn tại trong các gói dữ liệu của một tệp tin Real Media.

Chịu ảnh hưởng lỗ hổng bảo mật này là các phiên bản RealPlayer 8, RealPlayer 10, RealOne Player v1, RealOne Player v2, RealPlayer Enterprise dành cho Windows, RealPlayer 10 cho Mac, RealPlayer 10 và Helix Player cho Linux.

Một trong 2 lỗ hổng sẽ bị tin tặc lợi dụng khai thác bằng cách tạo nên một tệp tin video đuôi “.rm” nguy hiểm có nhúng các đoạn mã nguy hiểm. Khi người sử dụng mở tệp tin này thì ngay lập tức máy tính của họ đã bị nhiễm một số phần mềm nguy hiểm và đã thuộc về một tin tặc nào đó.

Lỗi bảo mật thức hai có thể cho phép một tệp tin giao diện (skin) RealPlayer (có đuôi là “.rjs”) tự động tải về cài đặt lên máy tính của người sử dụng. Một tệp tin skin là một gói các tệp tin hình ảnh và 1 tệp tin “.ini” nằm trong một tệp tin nén ZIP cùng với 1 tệp tin thư viện động DUNZIP32.DLL giúp giải nén tệp tin skin khi đã được tải xuống máy tính.

Tin tặc có thể nén một tệp tin có chứa các đoạn mã hay thông tin nguy hiểm và tạo ra một tệp tin rjs. Tin tặc cũng có thể thay đổi dung lượng tệp tin rjs như vậy thi khi tệp tin này được xử lý sẽ có thể gây ra lỗi tràn bộ nhớ đệm, mở cửa cho tin tặc chiếm lĩnh máy tính của người sử dụng.

RealNetworks khuyến cáo người sử dụng nên cập nhật các bản sửa lỗi càng sớm càng tốt. Người sử dụng có thể dùng tính năng tự động cập nhật trong menu Tool của RealPlayer để tải về các bản cập nhật mới nhất.