RealNetworks veröffentlicht Sicherheitsaktualisierung – März 2003, um Sicherheitsprobleme mit RealOne Player und RealPlayer auszuschalten.

27. März 2003

Am 7. März 2003 wurde RealNetworks auf ein Sicherheitsproblem bei RealOne Player und RealPlayer 8 aufmerksam gemacht.

Es handelte sich um Folgendes:

• Durch Erstellen einer spezifisch korrupten PNG (Portable Network Graphics)-Datei ist es möglich, eine Heap-Korrumpierung zu verursachen. Ein Angreifer kann somit arbiträren Code auf dem Rechner eines Benutzers ausführen.
  

RealNetworks ist nicht bekannt, dass die Sicherheit von Benutzern durch diesen Fehler tatsächlich gefährdet wurde. Trotzdem werden alle Sicherheitsschwachstellen äußerst ernst genommen. Das Problem wurde inzwischen von RealNetworks gefunden und gelöst.

Diese Schwachstelle ergab sich aus der Verwendung einer älteren, anfälligeren Version einer Bibliothek zur Datenkomprimierung innerhalb der RealPix-Komponente des Players. Die Schwachstelle wurde durch den Einsatz einer aktualisierten (nicht anfälligen) Version der Bibliothek zur Datenkomprimierung in RealPix behoben.

Außer der Lösung dieses Problems hat RealNetworks eine Prüfung des gesamten Quellcodes innerhalb des RealOne Players durchgeführt. Ziel war es, festzustellen, ob die Bibliothek zur Datenkomprimierung noch in anderen Bereichen verwendet wird. Als Ergebnis dieser Prüfung wurden mehrere zusätzliche Komponenten des Players aktualisiert und sind ebenfalls in diesem Update enthalten.

Betroffene Software:

RealOne Player und RealOne Player v2 für Windows (alle Sprachversionen), RealPlayer 8 für Windows (alle Sprachversionen), RealPlayer 8 für Mac OS 9, RealOne Player für Mac OS X, RealOne Enterprise Desktop Manager und RealOne Enterprise Desktop (alle Versionen).

Der Helix DNA-Client ist von dieser Schwachstelle nicht betroffen.

Workaround:
Zum Schutz Ihres Players empfehlen wir Ihnen die Installation der verfügbaren Updates.

UPDATES

Windows-Players:
Führen Sie die folgenden Schritte aus, um Ihren RealOne Player und RealPlayer 8 zu aktualisieren:
    RealOne Player (6.0.10.505), RealOne Player Version 2 (6.0.11.853):

1. Gehen Sie zum Menü "Extras".
2. Wählen Sie die Option "Auf Update überprüfen".
3. Aktivieren Sie das Kontrollkästchen neben der Komponente "Sicherheitsaktualisierung - März 2003".
4. Klicken Sie auf die Schaltfläche "Installieren", um das Update herunterzuladen und zu installieren.
   

   RealPlayer 8 (Version 6.0.9.584):

1. Gehen Sie zum Menü "Hilfe".
2. Wählen Sie die Option "Auf Update überprüfen".
3. Aktivieren Sie das Kontrollkästchen neben der Komponente "Sicherheitsaktualisierung - März 2003".
4. Klicken Sie auf die Schaltfläche "Installieren", um das Update herunterzuladen und zu installieren.

RealOne Player für OS X
Gehen Sie zu http://forms.real.com/real/realone/mac.html und laden Sie eine aktualisierte Version des RealOne Player herunter.

RealPlayer 8 für MacOS 9 (Version 6.0.9.584):
Klicken Sie hier, um das Update-Archiv herunterzuladen und folgen Sie zur Installation der aktualisierten Komponenten den folgenden Schritten:

1. Dekomprimieren Sie das Update-Archiv mit Hilfe von Stuffit Expander.
2. Schließen Sie gegebenenfalls RealPlayer.
   
3. Kopieren Sie die folgenden Update-Dateien aus dem Archiv
   
• pxpf60.dll
• pxpr60.dll
• pxgr60.dll
• pxcpng60.dll
  
• httpfsys60.dll
• swfrend60.dll

• Öffnen Sie den Systemordner
• Öffnen Sie innerhalb des Systemordners den Ordner "Application Support".
  
• Öffnen Sie innerhalb des Ordners "Application Support" den Ordner "Real"
  
• Öffnen Sie innerhalb des Ordners "Real" den Plugin-Ordner
4. Auf die Frage, ob sie vorhandene ältere Elemente ersetzen möchten, klicken Sie auf "OK".
   

RealOne Enterprise-Produkte:
  Updates für RealOne Desktop Manager und RealOne Enterprise Desktop werden voraussichtlich innerhalb von einer Woche verfügbar sein. Die entsprechenden Links finden Sie dann auf dieser Seite.

Andere Player-Versionen:
  Benutzern anderer Versionen des RealPlayer, darunter

• RealOne Player Version 2 (Versionen 6.0.11.818 bis 6.0.11.841)
• RealPlayer 8 (vor Version 6.0.9.584),
• RealPlayer 7 und
• RealPlayer G2,

wird eindringlich empfohlen, zuerst auf die neueste Version des RealOne Player zu aktualisieren und anschließend die Anweisungen für das Sicherheits-Update zu befolgen.

Danksagung:
   Die Schwachstellen wurden dank der Hilfe von Carlos Sarraute und Juliano Rizzo von Core Security Technologies aufgedeckt.

Garantie:
RealNetworks Zielsetzung ist es, Ihnen Produkte und Dienste von höchster Qualität anzubieten. Wir können jedoch nicht garantieren, dass der Betrieb von RealNetworks-Produkten immer fehlerfrei, ohne Unterbrechungen und sicher abläuft. Weitere Informationen zu Haftungsbeschränkungen finden Sie in Ihrer ursprünglichen Lizenzvereinbarung.