Attaque combinée contre Real Player et Internet Explorer

Décidément, écouter de la musique devient périlleux : après les listes de lecture piégées d'iTunesiTunes et les fichiers Windows Media Player sabotés, il faudra désormais aussi se méfier des fichiers musicaux Real Audio. Un exploit vient en effet d'être publié afin de montrer comment la simple lecture d'un fichier .rm permet d'exécuter un fichier piégé sur le disque dur du mélomane un peu trop confiant.

L'attaque exploite deux vulnérabilités, l'une déjà connue dans Internet Explorer et l'autre tout juste découverte dans Real Player. La combinaison des deux failles permet au pirate de déposer le fichier de son choix sur le disque dur de sa victime avant de le faire exécuter.

S'il est possible d'empêcher la contribution d'Internet Explorer en appliquant les derniers correctifs ou en interdisant le glisser-déposer, la vulnérabilité de Real Player demeure. Elle permet notamment de forcer le lecteur à ouvrir n'importe quel fichier local potentiellement dangereux. D'autres attaques pourraient donc très bien tenter d'en tirer profit à l'avenir.

Il n'existe pas de correctif à cette faille là. Il est donc conseillé d'éviter provisoirement l'ouverture de fichiers .rm et d'interdire l'exécution automatique de ces derniers au sein du navigateurnavigateur. En attendant que Real Networks ne se décide à la corriger.