十一月 27, 2007
QuickTime for Win 曝严重漏洞
由. Ghost 将文章归档于 Mac OS X
安全研究人员警告称，Apple QuickTime 媒体播放软件存在一个没有修复的安全漏洞。攻击这个安全漏洞的代码已经公开了。因此，很快将出现对运行 Windows XP 和 Vista 的电脑实施的攻击。
截止到上周末（11月25日），还没有听说 Mac OS X 版本的这种媒体播放软件是否也存在这个安全漏洞。
据赛门铁克和美国计算机应急反应小组发布的警告称，QuickTime 7.2 和 7.3（也可能包括早期版本）中的这个严重的安全漏洞存在于这个播放器软件处理实时流协议（RTSP）的过程中。攻击者能够利用这个安全漏洞欺骗用户访问恶意的或者托管特别制作的流内容的被攻破的网站，或者说服用户打开电子邮件附件中的 QTL 文件。
赛门铁克称波兰研究人员 Krystian Kloskowski 是在星期五第一个报告在 milw0rm.com 网站发现这个 0day 攻击安全漏洞的。星期六，Kloskowski 发布了攻击代码。另一位网名为"InTeL"的研究人员发布了另一些概念证明样本。这些攻击代码能够在运行 QuickTime 7.2 / 7.3 的 Windows XP SP2 和 Windows Vista 上运行。
成功地利用这个安全漏洞能够让攻击者安全额外的恶意软件或者窃取口令等系统信息。如果攻击失败，这个攻击只能引起 QuickTime 崩溃。
InTeL 称，Apple 开发人员的一个错误让攻击者能够更容易对 Vista 系统实施攻击。他说，QuickTime Player 的二进制代码没有打开 ALSR（地址空间布局随机化）功能。ALSR 是 Vista 的一项安全功能，可以随机地向内存分配数据和应用程序组件，如 .exe 和 .dll 文件，从而使攻击者很难确定重要的功能和有漏洞的代码的位置。
赛门铁克分析师 Anthony Roe 也称，Apple 的这个疏忽使利用这个安全漏洞更容易。
固定链接: QuickTime for Win 曝严重漏洞
关键词:
QuickTime Windows 安全漏洞 问题
引用: http://www.creative-weblogging.com/cgi-bin/mt-tb.pl/103815
