RealNetworks修補零時差漏洞

RealNetworks上周五（10/19）修補RealPlayer中一個已被攻陷的漏洞。

資安業者賽門鐵克（Symantec）安全回應中心說明，他們近日接獲報告，發現在RealPlayer中的漏洞已遭功擊，該漏洞影響RealPlayer中ierpplug.dll元件的ActiveX物件。

賽門鐵克表示，此一dll過去也曾被利用，當時僅被用來進行阻斷式服務攻擊，但此次看起來駭客更新了相關技術並轉為可執行遠端程式攻擊。

美國電腦緊急應變小組（United States Computer Emergency Readiness Team，US-CERT）則說，此一ierpplug.dll的ActiveX控制器可用來將本機檔案匯入RealPlayer的特定播放清單中，可能導致緩衝區溢位，當使用者造訪一個擁有惡意html文件時，駭客能夠在遠端執行惡意程式，並掌控使用者電腦。RealPlayer 9以後的版本都含有此一ActiveX控制器。

US-CERT呼籲使用者儘快安裝修補程式，賽門鐵克則建議使用者確定在執行Active Scripting設有提醒功能，或是將微軟Outlook及Outlook Express將所有收到的電子郵件設為文件格式，或是關閉JavaScript功能，以及確定所使用的防毒軟體為最新版等。

RealNetworks表示，蘋果及Linux版本並未受到該漏洞影響，而RealPlayer 8以前的視窗版本也未受到影響。（編譯/陳曉莉）