Qualys

Security CommunityLa communauté des experts sécuritéen savoir plus

SecurityVibesQualys Community

Left content

Attaque combinée contre Real Player et Internet Explorer

auteur de l'article Jerome Saiz , dans la rubrique Menaces

Commentaires Commentaires fermés sur Attaque combinée contre Real Player et Internet Explorer

C’est du travail d’équipe : en combinant une faille dans le lecteur audio Real Player et une autre dans Internet Explorer, un pirate est en mesure de prendre le contrôle du PC à la lecture d’un simple fichier audio. Un exploit a été publié sur le web pour démontrer cette attaque rondement menée.


Décidément, écouter de la musique devient périlleux : après les listes de lecture piégées d’iTunes et les fichiers Windows Media Player sabotés, il faudra désormais aussi se méfier des fichiers musicaux Real Audio. Un exploit vient en effet d’être publié afin de montrer comment la simple lecture d’un fichier .rm permet d’exécuter un fichier piégé sur le disque dur du mélomane un peu trop confiant.L’attaque exploite deux vulnérabilités, l’une déjà connue dans Internet Explorer et l’autre tout juste découverte dans Real Player. La combinaison des deux failles permet au pirate de déposer le fichier de son choix sur le disque dur de sa victime avant de le faire exécuter.S’il est possible d’empêcher la contribution d’Internet Explorer en appliquant les derniers correctifs ou en interdisant le glisser-déposer, la vulnérabilité de Real Player demeure. Elle permet notamment de forcer le lecteur à ouvrir n’importe quel fichier local potentiellement dangereux. D’autres attaques pourraient donc très bien tenter d’en tirer profit à l’avenir.Il n’existe pas de correctif à cette faille là. Il est donc conseillé d’éviter provisoirement l’ouverture de fichiers .rm et d’interdire l’exécution automatique de ces derniers au sein du navigateur. En attendant que Real Networks ne se décide à la corriger.


Vous avez aimé cet article?

Cliquez sur le bouton J'AIME ou partagez le avec vos amis!

Notez L'article

Participez ou lancez la discussion!

Les commentaires sont fermés.

Catégories

Étiquettes

Archives

Ce site est une archive des messages à SecurityVibes de Septembre 2000 à Juillet 2014. S'il vous plaît visitez le Qualys Community pour les dernières nouvelles.