CERT-FI haavoittuvuustiedote 077/2005

4.11.2005

Haavoittuvuuksia Apple QuickTime -ohjelmistossa


Kohde:	- työasemat ja loppukäyttäjäsovellukset	Lisätietoja
Hyökkäystapa:	- paikallisesti	Lisätietoja
Hyväksikäyttö:	- komentojen mielivaltainen suorittaminen - palvelunestohyökkäys	Lisätietoja
Ratkaisu:	- korjaava ohjelmistopäivitys	Lisätietoja

Apple QuickTime on suosittu mm. videotallenteiden katseluun ja musiikkitiedostojen kuunteluun käytetty ohjelmisto. Apple QuickTime -ohjelmistosta on löydetty neljä haavoittuvuutta.

Kaksi löydetyistä haavoittuvuuksista on videotiedoston lataamiseen liittyviä kokonaislukuylivuotoja. Haavoittuvuuksia hyväksikäyttämällä hyökkääjä voi suorittaa kohdejärjestelmässä omia komentojaan. Haavoittuvuuksia voidaan hyväksikäyttää tietyllä tavalla muokatun .mov-videotiedoston avulla.

Kolmas haavoittuvuuksista liittyy QuickTime ohjelmiston PictureViewer-komponentiin. Haavoittuvuus on pakatun PICT-datan käsittelyssä tapahtuva muistin korruptoituminen. Haavoittuvuutta hyväksikäyttämällä hyökkääjän voi olla mahdollista suorittaa omia komentojaan kohdejärjestelmässä. Haavoittuvuutta voidaan hyväksikäyttää tietyllä tavalla muokatulla PICT-kuvatiedostolla.

Neljäs haavoittuvuus on julkaistuista haavoittuvuuksista vähemmän merkityksellisen. Sen hyväksikäyttö mahdollistaa QuickTime-ohjelmistoa käyttävän sovelluksen kaatamisen.