PR

 米シマンテックや米マカフィー、米US-CERTなどのセキュリティベンダー/組織は2007年10月19日(米国時間)、米リアルネットワークスのメディア再生ソフト「RealPlayer」の新しい脆弱(ぜいじゃく)性を悪用する攻撃が出現したとして注意を呼びかけた。攻撃が確認された後、リアルネットワークスでは10月19日付で修正パッチ(セキュリティアップデート)を公開している。

 今回の脆弱性は、RealPlayerに含まれるActiveXコントロールに関するもの。このコントロールには「バッファーオーバーフロー」を発生させる欠陥が存在するため、細工が施されたデータを渡されると、データに含まれる任意のプログラムを実行される恐れがある。

 WebブラウザーにInternet Explorer(IE)を利用している場合には、細工が施されたWebサイトにアクセスするだけで、ウイルスなどを仕込まれる恐れがある。実際、今回の脆弱性が公表される前に、脆弱性を悪用するWebサイトやウイルスが確認された。いわゆる「ゼロデイ攻撃」である。ゼロデイ攻撃が確認されたことで、脆弱性の存在が明らかとなった。

 今回の脆弱性を突くWebサイトにアクセスすると、ウイルスを勝手にインストールされて、パソコンを乗っ取られる恐れがある。マカフィーでは、同社製品のユーザー250名程度が、今回の脆弱性を悪用するWebサイトにアクセスしたことを確認(10月19日時点)。そのほとんどは米国のユーザーだったという。

 今回の脆弱性は、RealPlayerの最新バージョンである「RealPlayer 11ベータ版」や「RealPlayer 10.5」で確認されている。また、脆弱性が存在するActiveXコントロールは、RealPlayerバージョン9(RealOne Player)以降に含まれているので、RealPlayer 10.5より古いバージョンも影響を受けるだろうという。

 攻撃が確認された後、リアルネットワークスでは今回の脆弱性に関する情報と修正パッチを公開。マカフィーによれば、リアルネットワークスでは攻撃が確認されてから24時間以内に修正パッチを公開したという。

 US-CERTでは、脆弱性の影響を回避する方法として、(1)リアルネットワークスの修正パッチを適用する、(2)問題のActiveXコントロールがIE経由で呼び出されないように「kill bit」を設定する、(3)IEのセキュリティ設定を変更して、ActiveXコントロールが実行されないようにする――ことなどを挙げている。(2)や(3)の具体的な設定方法については、US-CERTの情報などを参照してほしい。