jeudi 23 octobre 2014    || Inscription
BannierePresse
 
 

Apple vient de publier un avis adressant 17 failles de sécurité dans QuickTime Media Player. La mise à jour est classée critique car plusieurs vulnérabilités fixées peuvent permettre l'exécution de code à distance. L'une des vulnérabilités critiques adressées est CVE-2012-0671, que j'ai découverte et signalée à Apple plus tôt cette année.

Comment a été découverte cette vulnérabilité ?

J'ai trouvé cette vulnérabilité en investiguant manuellement et en procédant au reverse engineering du code binaire de QuickTime. J'ai également créé un fuzzer pour couvrir des portions spécifiques des formats médias d'Apple. Dans cette vulnérabilité particulière, QuickTime n'analyse pas correctement les fichiers médias .pct, ce qui provoque une corruption dans le module DllMain par le biais d'un fichier malformé avec une valeur non valide situé à l'offset 0x20e. Dans mes tests, j'ai utilisé la version 7.7.1 de QuickTime Player (1680.42) sur Windows XP SP 3 - PT_BR, mais il est probable que d'autres versions de Windows soient aussi affectées.

Une preuve de concept repro01.pct est disponible pour les parties intéressées et a été partagée avec Apple le 22 Février 2012, pour les aider à localiser et corriger le problème.

Qu'est-ce que cette vulnérabilité signifie ?

Si vous utilisez QuickTime, les attaquants peuvent prendre le contrôle total de votre machine par le biais de cette vulnérabilité, qui est déclenchée par la lecture d'un fichier média malveillant qui utilise des valeurs trop grandes dans le format image PCT. Une attaque typique permettrait d'intégrer un tel fichier dans une page web et d'utiliser le social engineering pour orienter les utilisateurs à visualiser la page. Jusqu'à présent, il n'y a pas encore eu de rapports d'attaquants exploitant cette vulnérabilité.

Pour contextualiser, QuickTime est utilisé par 61% de tous les ordinateurs compatibles connectés à Internet, y compris 49% de tous les PC Windows et 98% des ordinateurs Apple (Source : Qualys BrowserCheck). Même si vous n'utilisez pas QuickTime par défaut pour lire des films et des vidéos, il peut être utilisé comme lecteur multimédia pour le format PCT sur tous les navigateurs Web, y compris Chrome, Safari, Internet Explorer et Firefox.

Tous les utilisateurs, les consommateurs et les entreprises, doivent télécharger la mise à jour de sécurité dès que possible, car la simple navigation sur une page web malicieuse de n'importe quel navigateur Web peut activer cette vulnérabilité. Si vous n'êtes pas sûr que votre plug-in QuickTime soit mis à jour, vous pouvez utiliser Qualys BrowserCheck, un service gratuit, pour vérifier si vous avez besoin de télécharger la mise à jour.

Tout au long de l'ensemble du processus, Apple a été très professionnel dans le traitement de cette question et a fourni des mises à jour de statut constantes à ma demande. C'est agréable de voir une entreprise de la taille d'Apple prendre un rôle proactif afin de s'assurer que leurs logiciels et leurs utilisateurs soient protégés contre des vulnérabilités majeures comme celle-ci.



Autres Communiqués Produits et services





Partenaires Mag-Securs