セキュリティ・ベンダーのデンマークSecuniaなどは現地時間9月27日，米RealNetworksの音声／動画再生ソフト「Linux用RealPlayer 10」や「Helix Player」にセキュリティ・ホールが見つかったことを公表した。細工が施されたファイルを読み込むと，悪質なプログラムを実行させられる可能性がある。9月26日時点で，このセキュリティ・ホールを突くプログラムがネット上で公開されている。パッチや修正版は未公開。現時点での回避策は，信頼できないファイルを開かないことなど。

　今回のセキュリティ・ホールの影響を受けるとされるのは，Linux用のRealPlayer 10.0.5以前（10.0.5を含む）およびHelix Player 1.0.5以前（1.0.5を含む）。WindowsおよびMac用のRealPlayer／RealOne Playerは影響を受けない。

　今回，Linux用RealPlayerおよびHelix Playerには，「Format String Vulnerability（書式文字の脆弱性）」と呼ばれるセキュリティ・ホールが見つかった。このため，細工が施されたRealPixファイル（静止画をストリーミングするためのクリップ・ファイル。拡張子は.rp）あるいはRealTextファイル（テキストをストリーミングするためのクリップ・ファイル。拡張子は.rt）を読み込むと，ファイルに仕込まれた任意のプログラムを実行させられる恐れがある。ブラウザなどから細工が施されたファイルへのリンクをクリックするだけでも被害を受ける可能性がある。

　実際，今回のセキュリティ・ホールを突くファイルを作成するプログラムがネット上で公開されている。同プログラムでは，セキュリティ・ホールを突いてリモート・シェル（ネット経由でリモートからアクセスできるシェル）を起動するファイルを作成できる。リモート・シェルが起動されれば，そのマシンを攻撃者に乗っ取られる可能性がある。このプログラムは，RealNetworksやセキュリティ・ベンダーから情報が公表される前に公開されていたので，いわゆる「Zero-Day Exploit」である。

　現時点（9月28日11時）では，今回のセキュリティ・ホールに関する情報は，RealNetworksがセキュリティ情報を公表するためのページ「RealNetworks Security Updates and Incident Reports」には掲載されていない。パッチや修正版も未公開である。

　このためSecuniaでは，現時点での対策（Solution）として，「信頼できないメディア・ファイルを開かない（Do not open media files from untrusted sources）」ことを挙げている。信頼できないリンクをクリックしないことも重要だ。

◎参考資料
◆RealPlayer Error Message Format String Vulnerability
◆Helix Player Error Message Format String Vulnerability