S.G.D.S.N

Agence nationale
de la sécurité des
systèmes d'information

Paris, le 12 juillet 2007
N° CERTA-2007-AVI-308
Affaire suivie par: CERT-FR

Avis du CERT-FR

Objet: Multiples vulnérabilités dans Apple QuickTime

Gestion du document

Référence CERTA-2007-AVI-308
Titre Multiples vulnérabilités dans Apple QuickTime
Date de la première version12 juillet 2007
Date de la dernière version12 juillet 2007
Source(s) Avis de sécurité Apple 305947 du 11 juillet 2007
Pièce(s) jointe(s) Aucune(s)
Tableau 1: Gestion du document

Une gestion de version détaillée se trouve à la fin de ce document.

Risques

  • Déni de service à distance
  • Exécution de code arbitraire à distance

Systèmes affectés

  • QuickTime 7.2 ainsi que les versions antérieures.

Résumé

Plusieurs vulnérabilités ont été identifiées dans le lecteur multimédia Apple QuickTime. L'exploitation de ces dernières peut entraîner un dysfonctionnement de l'application, voire l'exécution de code arbitraire à distance sur le système vulnérable.

Description

Plusieurs vulnérabilités ont été identifiées dans le lecteur multimédia Apple QuickTime. Parmi celles-ci :

  • l'application ne manipulerait pas correctement les vidéos au format H.264. Ce problème peut ainsi provoquer une corruption de la mémoire.
  • l'application ne manipulerait pas correctement les fichiers au format .m4v. Ce problème peut ainsi provoquer un débordement d'entier.
  • l'application ne manipulerait pas correctement les fichiers au format SMIL. Ce problème peut ainsi provoquer un débordement d'entier.
  • les vérifications de sécurité (permissions) peuvent être contournées, dans QuickTime pour Java. L'exploitation de cette vulnérabilité, comme les précédentes, peut entraîner, sous certaines conditions, l'exécution de code arbitraire à distance sur le système vulnérable.

Solution

Se référer au bulletin de sécurité d'Apple pour l'obtention des correctifs (cf. section Documentation).

Documentation

Gestion détaillée du document

    le 12 juillet 2007
    version initiale.