Patch stopft Sicherheitslecks im Real-Player

Mit aktuellen Patches will Real Networks mehrere, teils kritische Sicherheitslecks in seinen Realmedia-Programmen beheben. Neben dem bekannten Flaggschiff Real-Player 10.5 sollen auch frühere Version beziehungsweise andere Software wie Rhapsody und Helix auf diversen Plattformen betroffen sein.

Sicherheitsexperten von Secunia empfehlen ein schleuniges Update, da über die besagten Schwachstellen Pufferüberläufe ausgelöst sowie schadhafte Codes eingeschleust werden können. Keine Entwarnung gibt es indessen für eine gestern publik gewordene schwere Sicherheitslücke im Internet Explorer.

„Auch wenn derzeit noch keine Schadensmeldungen vorliegen, müssen die Warnungen bezüglich der Real-Player-Software in jedem Fall ernst genommen werden“, meint Secunia-CGO Tomas Kristensen. In einem ähnlichen Fall Ende Dezember 2005, bei dem Windows über schadhafte .wfm-Dateien betroffen war, hätten Angreifer auch tatsächlich zugeschlagen, geht Kristensen von einer potenziellen, aber durchwegs realen Bedrohung aus. „Das Problem ist allerdings, dass nur eine Minderheit der Privatanwender sich um Updates abseits von Microsoft-Software oder ihres Antivirenprogrammes kümmert“, so der Sicherheitsexperte.

Während die Real-Media-Software mit den neuen Patches wieder ein Stück sicherer geworden ist, gibt es für den Internet Explorer noch keine Entwarnung. Das aktuelle Sicherheitsleck steckt in der Javascript-Funktion „createTextRange()“ im Zusammenhang mit so genannten Radio-Buttons. Über diese können Secunia zufolge Teile des Speichers überschrieben und ebenfalls schadhafte Codes ausgeführt werden. Betroffen soll nicht nur der Internet Explorer 6 sondern offenbar auch die von Microsoft im Januar veröffentlichten Betaversion des neuen Internet Explorer 7 sein. Die kürzlich erschienene aktualisierte Beta soll den Fehler allerdings nicht mehr enthalten.

Secunia hat Kristensen zufolge Microsoft bereits am 13. Februar dieses Jahres auf das vorliegende Problem aufmerksam gemacht, der Software-Riese konnte bisher aber noch mit keinem entsprechenden Patch aufwarten. „Es ist eine schwierige Frage, ob die Entwicklung solcher Updates zu lange dauert“, zeigt Kristensen angesichts des riesigen Kundenstamms und der daraus resultierenden besonderen Verantwortung bei Software-Updates durchaus Verständnis für den Branchen-Riesen. Die aktuelle Sicherheitsbedrohung war gestern durch einen aufmerksamen Privatanwender öffentlich und somit erst recht zu einem Sicherheitsrisiko geworden.