1. Sistemas Afectados

   Apple QuickTime ejecutándose en sistemas

   • Apple Mac OS X
   • Microsoft Windows

2. Descripción

   La versión 7.5.1 resuelve múltiples vulnerabilidades relacionadas con el manejo de distintos tipos de archivos de imágenes y multimedia. Un intruso puede explotar estas vulnerabilidades convenciendo a un usuario, que cuente con la versión vulnerable de QuickTime, de acceder a archivos de imágenes y multimedia modificados con fines maliciosos. Debido a que QuickTime puede ser configurado para usarse con navegadores Web, un intruso puede aprovechar esto para diseñar su ataque haciendo uso de un sitio Web.

   Es importante mencionar que QuickTime interactúa con Apple iTunes.

   Más detalles de esta vulnerabilidad se encuentran disponibles en las notas de vulnerabilidad.

3. Impacto

   Esta vulnerabilidad permite que un intruso pueda, sin previa autenticación, ejecutar código o comandos arbitrarios de forma remota y provocar una negación de servicio.

4. Solución

   Actualizar QuickTime

   Actualizar QuickTime a la versión 7.1.5. Esta y otras actualizaciones están disponibles por medio de la herramienta “Actualización de software” de Apple.

   Para el sistema Windows de Microsoft, la opción “actualización de software” no detectará una nueva versión disponible. Los usuarios de Windows requerirán descargar la actualización haciendo uso de “Apple Software Update” e instalarlo de forma manual.

   Deshabilitar QuickTime del navegador Web.

   Un intruso podrá diseñar un sitio Web que contenga archivos de imagen y multimedia especialmente modificados para explotar esta vulnerabilidad. Para no ser víctimas de un ataque descargando archivos de un sitio malicioso, es importante desactivar QuickTime del navegador Web. Para más información relacionada con la forma de desactivar la aplicación del navegador Web, referirse a la documentación del navegador de su preferencia.

5. Referencias

   • Vulnerability Notes for QuickTime 7.1.5 - http://www.kb.cert.org/vuls/byid?searchview&query=QuickTime_715
   • About the security content of the QuickTime 7.1.5 Update http://docs.info.apple.com/article.html?artnum=305149
   • How to tell if Software Update for Windows is working correctly when no updates are available - http://docs.info.apple.com/article.html?artnum=304263
   • Apple QuickTime 7.1.5 for Windows - http://www.apple.com/support/downloads/quicktime715forwindows.html
   • Apple QuickTime 7.1.5 for Mac - http://www.apple.com/support/downloads/quicktime715formac.html
   • Standalone Apple QuickTime Player - http://www.apple.com/quicktime/download/standalone.html
   • Mac OS X: Updating your software - http://docs.info.apple.com/article.html?artnum=106704
   • Securing Your Web Browser - http://www.us-cert.gov/reading_room/securing_browser/

La Coordinación de Seguridad de la Información/UNAM-CERT agradece el apoyo en la elaboración ó traducción y revisión de éste Documento a:

• Ruben Aquino Luna (raquino at seguridad dot unam dot mx)
• Israel Becerril Sierra (ibecerril at seguridad dot unam dot mx)