CERT-FI haavoittuvuustiedote 003/2006

11.1.2006

Haavoittuvuuksia Apple QuickTime -ohjelmistossa


Kohde:	- työasemat ja loppukäyttäjäsovellukset	Lisätietoja
Hyökkäystapa:	- paikallisesti	Lisätietoja
Hyväksikäyttö:	- komentojen mielivaltainen suorittaminen - palvelunestohyökkäys	Lisätietoja
Ratkaisu:	- korjaava ohjelmistopäivitys	Lisätietoja

Apple QuickTime on suosittu muun muassa videotallenteiden katseluun ja musiikkitiedostojen kuunteluun käytetty ohjelmisto. Apple QuickTime -ohjelmistosta on löydetty viisi haavoittuvuutta.

Ensimmäinen haavoittuvuus on QTIF-kuvatiedostojen käsittelyyn liittyvä puskurin ylivuoto, jota hyväksikäyttämällä hyökkääjä voi suorittaa kohdejärjestelmässä omia komentojaan.

Toiseen haavoittuvuuteen liittyy useita puskuri- ja kokonaislukuvuotoja tietyllä tavalla muokattujen TGA-kuvatiedostojen käsittelyssä, joita hyväksikäyttämällä hyökkääjä voi suorittaa kohdejärjestelmässä omia komentojaan tai kohdistaa siihen palvelunestohyökkäyksen.

Kolmanteen haavoittuvuuteen liittyy useita kokonaislukuylivuotoja tietyllä tavalla muokattujen TIFF-kuvatiedostojen käsittelyssä, joita hyväksikäyttämällä hyökkääjä voi suorittaa kohdejärjestelmässä omia komentojaan.

Neljäs haavoittuvuus on GIF-kuvatiedostojen käsittelyyn liittyvä puskurin ylivuoto, jota hyväksikäyttämällä hyökkääjä voi suorittaa kohdejärjestelmässä omia komentojaan.

Viides haavoittuvuus on mediatiedostojen käsittelyyn liittyvä puskurin ylivuoto, jonka avulla hyökkääjä voi suorittaa järjestelmässä omia komentojaan. Haavoittuvuutta voidaan hyväksikäyttää esimerkiksi tietyllä tavalla muokattujen www-sivujen avulla.