ウィンドウズのリアルプレイヤー問題について 2007年10月22日
注記： 当内容はライブセキュリティユーザー様向けのセキュリティ情報を一般向けに編集し直したものです。ウォッチガード・ユーザー様はウォッチガード・ブロードキャストも合わせてご覧下さい。
セキュリティ・アラート
■ウィンドウズのリアルプレイヤー問題について
危険度：高
日付：2007年10月22日
《概要》
米国時間の10月19日、リアルネットワークス社（RealNetworks）は、ウィンドウズ用の「RealPlayer 10.5」および「RealPlayer 11ベータ版」に影響を与えている重要なセキュリティ問題に対し、修正プログラムをリリースした。細工したウェブサイトにユーザーを招き寄せることに成功すると、攻撃者はこのセキュリティ問題を悪用しユーザーの権限を持った上で、そのユーザーのコンピューターでコードを実行することができるようになる。最悪の場合、攻撃者は被害者のPCを完全にコントロールできるようになる可能性もある。ネットワークでリアルプレイヤーの使用を許可している場合は、至急アップグレードするようユーザーに促すことをすすめる。
《問題の詳細》
リアルプレイヤーとリアルワン・プレイヤーは、インターネットのメディア再生を目的に広く利用されているソフトウェアである。リアルワン・プレイヤーは、ウィンドウズ・メディアやクイックタイム、MPEG-4、DVDなど、大方のインターネット・メディア形式のファイルを再生することができる。インターネットで何らかのビデオ動画をみたことがあったり、オンラインストアでCDを購入するまえに試聴したことがあれば、おそらくリアルプレイヤーを使ったことがあるだろう。
リアルプレイヤーおよびリアルワン・プレイヤーは、リアルネットワークスやリアルネットワークスのパートナー（NASCARやCNN）が、自動的にクライアント・コンピューターにソフトウェアをインストールすることができるようにディフォルトで許可しているため、ウォッチガードではその利用をすすめていない。ところが、多くのユーザーが許可の有無にかかわらず、そうした製品をインストールしていることが現状である。
米国時間の10月19日にリリースされたセキュリティ・アップデートで、リアルネットワークスはウィンドウズ用の「RealPlayer 10.5」と「RealPlayer 11ベータ版」に影響を与えている、新なセキュリティ問題について警告した（OS XとLinuxユーザーへの影響はない）。シマンテック（Symantec）社によって一般環境下で発見されたこの欠陥は、リアルプレイヤーのActiveXコントロール（特にierpplug.dll）のバッファ・オーバーフローに関与する。細工されたウェブサイトにユーザーを引き寄せることに成功すると、攻撃者は脆弱なActiveXコントロールに非常に長いパラメーターを送り、バッファ・オーバーフローを誘発させる。そして、攻撃者はこの欠陥を悪用し、ユーザーの権限を受け継いだ状態で、ユーザーのコンピューターでコードを実行することができるようになる。通常、ウィンドウズの管理者はユーザーにローカル管理者の権利を与えているため、こうした状況で悪用が成功すると、攻撃者はユーザーのマシーンを完全にコントロールできるようになる。
シマンテックは、一般環境下で攻撃者がこの脆弱性を悪用していることを発見した。つまり、欠陥を悪用する人物達がこれを最初に発見し、コンピューターに侵入するためにそれを悪用しているということになる。この脆弱性は深刻なリスクをもたらすため、ネットワークでリアルプレイヤーを使用している場合は、リアルネットワークスのアップデート版を至急インストールすることをすすめる。
《対策》
リアルネットワークスは、この問題を修正するプログラムをリリースしている。ウィンドウズ用の「RealPlayer 10.5」や「RealPlayer 11ベータ版」を使用している場合は、至急アップグレードするか、ソフトウェアを完全に除去することをすすめる。リアルネットワークスの修正プログラムはここから入手可能。
■ウォッチガード・ユーザー
この脆弱性を悪用した攻撃は、通常のHTTPトラフィックを装う。HTTPトラフィックは、ネットワーク上のユーザーが、ウェブ（ワールド・ワイド・ウェブ、略してWWW）にアクセスするには許可しておかなければならないものであるため、先に述べたリアルネットワークスのアップデート版をできる限り早急に取り入れることが主な対策となる。
《ステータス》
リアルネットワークスは、この問題を修正するセキュリティ・アップデートをリリースしている。
《参考文献》
シマンテックのリアルプレイヤーに関するアラート
リアルネットワークス社のセキュリティ・アップデート（英語のみ）
このセキュリティ・アラートは、ウォッチガード・ライブセキュリティのコーリー・ナクライナーCISSPによって調査され書かれた記事です。
セキュリティ・アラート
■ウィンドウズのリアルプレイヤー問題について
危険度：高
日付：2007年10月22日
《概要》
米国時間の10月19日、リアルネットワークス社（RealNetworks）は、ウィンドウズ用の「RealPlayer 10.5」および「RealPlayer 11ベータ版」に影響を与えている重要なセキュリティ問題に対し、修正プログラムをリリースした。細工したウェブサイトにユーザーを招き寄せることに成功すると、攻撃者はこのセキュリティ問題を悪用しユーザーの権限を持った上で、そのユーザーのコンピューターでコードを実行することができるようになる。最悪の場合、攻撃者は被害者のPCを完全にコントロールできるようになる可能性もある。ネットワークでリアルプレイヤーの使用を許可している場合は、至急アップグレードするようユーザーに促すことをすすめる。
《問題の詳細》
リアルプレイヤーとリアルワン・プレイヤーは、インターネットのメディア再生を目的に広く利用されているソフトウェアである。リアルワン・プレイヤーは、ウィンドウズ・メディアやクイックタイム、MPEG-4、DVDなど、大方のインターネット・メディア形式のファイルを再生することができる。インターネットで何らかのビデオ動画をみたことがあったり、オンラインストアでCDを購入するまえに試聴したことがあれば、おそらくリアルプレイヤーを使ったことがあるだろう。
リアルプレイヤーおよびリアルワン・プレイヤーは、リアルネットワークスやリアルネットワークスのパートナー（NASCARやCNN）が、自動的にクライアント・コンピューターにソフトウェアをインストールすることができるようにディフォルトで許可しているため、ウォッチガードではその利用をすすめていない。ところが、多くのユーザーが許可の有無にかかわらず、そうした製品をインストールしていることが現状である。
米国時間の10月19日にリリースされたセキュリティ・アップデートで、リアルネットワークスはウィンドウズ用の「RealPlayer 10.5」と「RealPlayer 11ベータ版」に影響を与えている、新なセキュリティ問題について警告した（OS XとLinuxユーザーへの影響はない）。シマンテック（Symantec）社によって一般環境下で発見されたこの欠陥は、リアルプレイヤーのActiveXコントロール（特にierpplug.dll）のバッファ・オーバーフローに関与する。細工されたウェブサイトにユーザーを引き寄せることに成功すると、攻撃者は脆弱なActiveXコントロールに非常に長いパラメーターを送り、バッファ・オーバーフローを誘発させる。そして、攻撃者はこの欠陥を悪用し、ユーザーの権限を受け継いだ状態で、ユーザーのコンピューターでコードを実行することができるようになる。通常、ウィンドウズの管理者はユーザーにローカル管理者の権利を与えているため、こうした状況で悪用が成功すると、攻撃者はユーザーのマシーンを完全にコントロールできるようになる。
シマンテックは、一般環境下で攻撃者がこの脆弱性を悪用していることを発見した。つまり、欠陥を悪用する人物達がこれを最初に発見し、コンピューターに侵入するためにそれを悪用しているということになる。この脆弱性は深刻なリスクをもたらすため、ネットワークでリアルプレイヤーを使用している場合は、リアルネットワークスのアップデート版を至急インストールすることをすすめる。
《対策》
リアルネットワークスは、この問題を修正するプログラムをリリースしている。ウィンドウズ用の「RealPlayer 10.5」や「RealPlayer 11ベータ版」を使用している場合は、至急アップグレードするか、ソフトウェアを完全に除去することをすすめる。リアルネットワークスの修正プログラムはここから入手可能。
■ウォッチガード・ユーザー
この脆弱性を悪用した攻撃は、通常のHTTPトラフィックを装う。HTTPトラフィックは、ネットワーク上のユーザーが、ウェブ（ワールド・ワイド・ウェブ、略してWWW）にアクセスするには許可しておかなければならないものであるため、先に述べたリアルネットワークスのアップデート版をできる限り早急に取り入れることが主な対策となる。
《ステータス》
リアルネットワークスは、この問題を修正するセキュリティ・アップデートをリリースしている。
《参考文献》
シマンテックのリアルプレイヤーに関するアラート
リアルネットワークス社のセキュリティ・アップデート（英語のみ）
このセキュリティ・アラートは、ウォッチガード・ライブセキュリティのコーリー・ナクライナーCISSPによって調査され書かれた記事です。