Nota
El acceso a esta página requiere autorización. Puede intentar iniciar sesión o cambiar directorios.
El acceso a esta página requiere autorización. Puede intentar cambiar los directorios.
Vulnerabilidad en RealNetworks RealPlayer podría permitir la ejecución remota de código
Publicado: 17 de mayo de 2011
Versión: 1.0
Información general
Resumen ejecutivo
Microsoft proporciona una notificación de la detección y corrección de una vulnerabilidad que afecta a RealNetworks RealPlayer SP versión 1.1.4 y anteriores y RealPlayer 11.1 y versiones anteriores. Microsoft detectó y reveló la vulnerabilidad bajo la divulgación coordinada de vulnerabilidades al proveedor afectado, RealNetworks, Inc. RealNetworks, Inc. ha corregido la vulnerabilidad en su software.
Existe una vulnerabilidad de ejecución remota de código en la forma en que RealPlayer controla varias instancias del complemento RealPlayer ActiveX en varias ventanas del explorador de Internet Explorer. Un atacante podría aprovechar esta vulnerabilidad, lo que provoca que el explorador salga inesperadamente, lo que permite al atacante ejecutar código arbitrario. Un atacante que aprovechara correctamente esta vulnerabilidad podría obtener los mismos derechos de usuario que el usuario que inició sesión. Si un usuario ha iniciado sesión con derechos de usuario administrativos, un atacante que aprovechara correctamente esta vulnerabilidad podría tomar el control completo de un sistema afectado. El atacante, a continuación, podría instalar programas; ver, cambiar o eliminar datos; o crear cuentas con derechos de usuario completos.
Microsoft Vulnerability Research informó de este problema con RealNetworks, Inc. y se ha coordinado con el fin de garantizar la corrección de este problema. A la vulnerabilidad se le ha asignado la entrada CVE-2010-3001, en la lista Vulnerabilidades y exposiciones comunes. Para obtener más información, incluida la información sobre las actualizaciones de RealNetworks, vea RealNetworks, Inc. Releases Update to Address Security Vulnerabilities.
Factores de mitigación
- En un escenario de ataque basado en web, un atacante podría hospedar un sitio web que contiene una página web que se usa para aprovechar esta vulnerabilidad. Además, los sitios web en peligro y los sitios web que aceptan o hospedan contenido o anuncios proporcionados por el usuario podrían contener contenido especialmente diseñado que podría aprovechar esta vulnerabilidad. Sin embargo, en todos los casos, un atacante no tendría forma de forzar a los usuarios a visitar estos sitios web. En su lugar, un atacante tendría que convencer a los usuarios de visitar el sitio web, normalmente obteniendo que hagan clic en un vínculo en un mensaje de correo electrónico o un mensaje de Instant Messenger que lleve a los usuarios al sitio web del atacante.
- Un atacante que aprovechara correctamente esta vulnerabilidad podría obtener los mismos derechos de usuario que el usuario local. Los usuarios con cuentas configuradas para tener menos derechos de usuario en el sistema podrían tener un impacto menor que los usuarios que operan con derechos de usuario administrativos.
Detalles de asesoramiento
Propósito y recomendación
Propósito del aviso: para notificar a los usuarios una vulnerabilidad y su corrección.
Estado de aviso: aviso publicado.
Recomendación: revise la sección Acciones sugeridas y configure según corresponda.
Referencias a problemas
Para obtener más información sobre este problema, consulte las referencias siguientes:
| Referencia | Identificación |
|---|---|
| Vulnerabilidades y exposiciones comunes | CVE-2010-3001 |
Software afectado y no afectado
Este aviso describe el siguiente software.
| Software afectado |
|---|
| RealNetworks RealPlayer SP versión 1.1.4 y anteriores |
| RealNetworks RealPlayer versiones 11.0 y 11.1 |
| Software no afectado |
| RealNetworks RealPlayer SP, versión 1.1.5 |
Preguntas más frecuentes
¿Cuál es el ámbito de este aviso?
Este aviso forma parte de una versión coordinada con los proveedores afectados para informar a los clientes de un problema de seguridad que pueda afectar a sus sistemas.
¿Se trata de una vulnerabilidad de seguridad que requiere que Microsoft emita una actualización de seguridad?
No. Esta vulnerabilidad se ha corregido a través de una actualización del proveedor de terceros afectado. La actualización corrige el software que aparece en la tabla Software afectado.
¿Cuál es el ámbito de la vulnerabilidad?
Se trata de una vulnerabilidad de ejecución remota de código. Un atacante que aprovechara correctamente esta vulnerabilidad podría obtener los mismos derechos de usuario que el usuario que inició sesión. Los usuarios con cuentas configuradas para tener menos derechos de usuario en el sistema podrían tener un impacto menor que los usuarios que operan con derechos de usuario administrativos.
¿Qué causa la vulnerabilidad?
La vulnerabilidad existe en la forma en que RealPlayer controla varias instancias del complemento RealPlayer ActiveX en varias ventanas del explorador de Internet Explorer. Esto hace que el explorador salga inesperadamente, lo que permite al atacante ejecutar código arbitrario.
¿Qué podría hacer un atacante para usar esta vulnerabilidad?
Un atacante que aprovechara correctamente esta vulnerabilidad podría obtener los mismos derechos de usuario que un usuario que ha iniciado sesión. Si el usuario ha iniciado sesión con derechos de usuario administrativos, un atacante que aprovechara correctamente esta vulnerabilidad podría tomar el control completo de un sistema afectado. El atacante, a continuación, podría instalar programas; ver, cambiar o eliminar datos; o crear cuentas con derechos de usuario completos.
¿Cómo podría un atacante aprovechar la vulnerabilidad?
Un atacante podría aprovechar la vulnerabilidad mediante la construcción de una página web especialmente diseñada. Cuando un usuario ve la página web, la vulnerabilidad podría permitir la ejecución remota de código. Un atacante que aprovechara correctamente esta vulnerabilidad podría obtener los mismos derechos de usuario que el usuario que inició sesión. Si un usuario ha iniciado sesión con derechos de usuario administrativos, un atacante que aprovechara correctamente esta vulnerabilidad podría tomar el control completo de un sistema afectado. El atacante, a continuación, podría instalar programas; ver, cambiar o eliminar datos; o crear cuentas con derechos de usuario completos. Los usuarios con cuentas configuradas para tener menos derechos de usuario en el sistema podrían tener un impacto menor que los usuarios que operan con derechos de usuario administrativos.
Acciones sugeridas
Aplique las actualizaciones proporcionadas por el proveedor o actualice a una versión que no se ve afectada por esta vulnerabilidad.
Para obtener más información, incluida la información sobre las actualizaciones de RealNetworks, Inc., vea RealNetworks, Inc. Releases Update to Address Security Vulnerabilities.
Establezca el bit kill para el complemento RealNetworks RealPlayer ActiveX Control como solución alternativa.
Si no puede instalar la actualización proporcionada por el proveedor, puede establecer manualmente el bit de eliminación para CLSID {FDC7A535-4070-4B92-A0EA-D9994BCC0DC5}, con las instrucciones del artículo de Microsoft Knowledge Base 240797.
Impacto de la solución alternativa. Internet Explorer no crea una instancia de RealPlayer para reproducir archivos multimedia o de audio.
Otra información
Agradecimientos
Microsoft agradece lo siguiente:
- Steve Manzuik de Microsoft Vulnerability Research (MSVR) para detectar este problema y el equipo de RealNetworks, Inc. para trabajar hacia una resolución
Declinación de responsabilidades
La información proporcionada en este aviso se proporciona "tal cual" sin garantía de ningún tipo. Microsoft renuncia a todas las garantías, ya sea expresas o implícitas, incluidas las garantías de comerciabilidad y idoneidad para un propósito determinado. En ningún caso, Microsoft Corporation o sus proveedores serán responsables de cualquier daño, incluyendo daños directos, indirectos, incidentales, consecuentes, pérdida de beneficios empresariales o daños especiales, incluso si Microsoft Corporation o sus proveedores han sido informados de la posibilidad de tales daños. Algunos estados no permiten la exclusión o limitación de responsabilidad por daños consecuenciales o incidentales, por lo que es posible que no se aplique la limitación anterior.
Revisiones
- V1.0 (17 de mayo de 2011): Aviso publicado.
Compilado en 2014-04-18T13:49:36Z-07:00