Si usás RealPlayer, tenés 19 problemas (como mínimo)

(Por Rubén Borlenghi, el Microsaurio) Parece una broma, pero es una amarga realidad. Se informaron diecinueve vulnerabilidades, varias de las cuales afectan también a las máquinas con Mac OSX. En todos los casos, un atacante puede tomar control de una PC ajena, a través de la web. ¿Vos usás RealPlayer? Secate las lágrimas y te doy los detalles.

Es curioso pero mientras escribía esta columna me acordé del “newspeak”. En la novela 1984, la del Hermano Mayor, los ministerios de Oceanía, ese terrible país opresor, tenían los nombres curiosamente alterados: el de guerra se llamaba Ministerio de la Paz, el ministerio de propaganda, encargado de modificar los textos de historia para hacer desaparecer los errores del gobernante, se llamaba Ministerio de la Verdad, la represión de los disidentes políticos estaba a cargo del Ministerio del Amor. ¿Para dónde apunto?

Hace unas dos semanas, el 18 de noviembre, la empresa Real Networks publicó esta nota de seguridad para informar la aparición de nuevas versiones de su RealPlayer. Analizando la información, el panorama era éste:

• Solucionaban diecinueve vulnerabilidades.
• Estaban afectados tanto los usuarios de Windows como de Mac.
• Las versiones de RealPlayer “nuevas y sin fallas” son RealPlayer 15.0 para Windows y Mac RealPlayer 12.0.0.1703

Pequeño problema: los usuarios de GNU/Linux no están mencionados, porque ese sistema operativo “ya no es soportado por nuestro producto”; cosa que sucedió hace un año, más o menos…

Todo bárbaro, hasta que recibo, el día 21, un mail de US-CERT detallando (entre una parva de vulnerabilidades de muy variado software) las tales 19 fallas de RealPlayer. Y ahí veo la asignación de notas CVE, que van desde la CVE-2011-1944 a la 1962. Todas fechadas el 24 de noviembre (¿fechadas por adelantado???)

Para completar la confusión, al fin de la semana siguiente, llegan una nota de iDefense, la que fue comprada por Verisign y luego por Symantec, y otra de TippingPoint, la que fue comprada por 3Com y luego por HP. En la de iDefense informaban que tres de las fallas de seguridad de RealPlayer fueron descubiertas por gente que se las vendió a ellos; las otras 16 las compró la gente de TippingPoint. Pero la fecha de los mensajes era… el 28 de noviembre.
Y la versión de RealPlayer para Windows, según la Wikipedia, es 15.0.0.198, desde el mes pasado (¿?)

Me parece que algo pasó en estas dos semanas. Por ejemplo, que se hayan iniciado ataques empleando las vulnerabilidades detalladas en los péipers de los hackers.

Y si usás este software, no lo actualizás, y le hacés clic a un archivo de audio o video (convenientemente modificado) que se abra con él, tu PC será boleta, dado que las notas de seguridad (externas) informan que así nomás es como se le abre la puerta al atacante, Un simple clic.

De verdad, no tenés 19 problemas, tenés uno solo. Usar ese software, que fue calificado por la revista PCWorld como “uno de los 25 peores productos de tecnología de todos los tiempos” (¡en serio!).
En fin, es tu máquina, es tu malasangre. Yo te cuento lo que leí por ahí, nomás.