Sistemas Afectados

1. Impacto

   Esta vulnerabilidad puede ser explotada de forma remota, no será necesario que un intruso se autentiquen para ejecutar comandos o código arbitrario y con ello causar una negación de servicio (DoS).

2. Descripción

   La versión 7.1.3 de Apple QuickTime repara múltiples vulnerabilidades en la manipulación de archivos de imágenes y video. Un intruso puede explotar esta vulnerabilidad al tratar de hacer que el usuario acceda a una imagen o video previamente modificado con una versión de QuickTime vulnerable. Si se tiene configurado QuickTime con el navegador Web para ver videos, un intruso puede aprovechar esta configuración para explotar dicha vulnerabilidad.

   Es importante destacar que iTunes hace uso de QuickTime.

3. Solución

   Actualizar QuickTime

   Actualizar QuickTime a la versión 7.1.3. Tanto ésta como las demás actualizaciones para Mac OS X están disponibles vía Apple Update.

   Deshabilitar el uso de QuickTime en el navegador Web

   Un intruso puede explotar esta vulnerabilidad al hacer que el usuario acceda a un sitio Web en el que pueda ver videos previamente modificados. Para no ser victima de este ataque, es importante deshabilitar QuickTime del navegador Web

4. Referencias

   • Vulnerability Notes for QuickTime 7.1.3 - http://www.kb.cert.org/vuls/byid?searchview&query=QuickTime_713
   • About the security content of the QuickTime 7.1.3 Update - http://docs.info.apple.com/article.html?artnum=304357
   • Apple QuickTime 7.1.3 - http://www.apple.com/support/downloads/quicktime713.html
   • Standalone Apple QuickTime Player - http://www.apple.com/quicktime/download/standalone.html
   • Mac OS X: Updating your softwarehttp://docs.info.apple.com/article.html?artnum=106704
   • Securing Your Web Browser - http://www.us-cert.gov/reading_room/securing_browser/

La Coordinación de Seguridad de la Información/UNAM-CERT agradece el apoyo en la elaboración ó traducción y revisión de éste Documento a:

• Ruben Aquino Luna (raquino at seguridad dot unam dot mx)
• Israel Becerril Sierra (ibecerril at seguridad dot unam dot mx)