Come purtroppo sappiamo, ogni software presente sul nostro computer potenzialmente nasconde delle vulnerabilità in grado rendere instabile il nostro sistema o ancora peggio di renderlo veicolo per eventuali attacchi di pirateria informatica.
Questa volta tra i software che hanno dovuto correre ai ripari troviamo il noto RealPlayer insieme al suo compagno HelixPlayer. In questo caso è stata necessaria un patch per coprire una vulnerabilità che permetteva ad un qualsiasi hacker di eseguire codice sulla macchina bersaglio.
Il problema delle vulnerabilità è un problema noto, ma spesso male evidenziato dalle stesse case costruttrici di software. In questa circostanza infatti la falla non era stata indicata ne sul sito ufficiale di RealNetworks né sul blog di RealPlayer, nonostante l’update ad una versione più recente e priva di tale problema fosse caldamente consigliata.
Nello specifico il problema si trovava nel codice che gestiva le date nelle applicazioni e visualizzava l’orologio ed era vulnerabile ad un attacco di tipo buffer overflow.
L’hacker doveva far aprire all’utente, in modo manuale o automatico, uno speciale file, appositamente modificato, di tipo SMIL. Questi ultimi sono file scritti in XML che utilizzano il Synchronizad Multimedia Integration Language (SMIL) per differenti funzionalità (gestione del tempo, animazioni, grafica).
Come ultima nota dolente è da evidenziare che il bug copriva le versioni 10 di RealPlayer per Windows e per Macintosh, RealPlayer Enterprise e HelixPlayer oltre alla versione open source per i sistemi operativi Linux.
Un po’ per la difficoltà di mettere in pratica l’exploit e un po’ per la non eccessiva diffusione di questi player, la vulnerabilità non può essere considerata tra le più gravi.
Quello che invece è da sottolineare è come, ancora una volta, gli utenti non vengono avvertiti o informati delle possibili minacce presenti sul loro PC e dei modi per risolverle.
Spesso, infatti, gli aggiornamenti automatici coprono le falle in modo assolutamente invisibile per gli utenti. In questo modo, anche se molti non se ne curano, chi è davanti al computer non avrà mai una visione globale della stabilità del sistema e non avrà modo di scegliere questo o quel programma basandosi anche su caratteristiche legate alla sicurezza.
