QuickTime bucabile via streaming

Aprire flussi video online con QuickTime potrebbe non essere prudente in questo periodo. Sul sito milw0rm.com è infatti stato pubblicato un exploit capace di sfruttare una vulnerabilità di QuickTime che, nel momento in cui si scrive, non è ancora stata corretta.

La falla, che Secunia valuta di importanza “extremely critical”, è causata da un buffer overflow nel codice di QuickTime che gestisce il protocollo Real Time Streaming Protocol ( RTSP ), ed in particolare l’header Content-Type . Un malintenzionato potrebbe sfruttare la debolezza inducendo un utente a cliccare su di un flusso RSTP che, una volta aperto, causa il crash del player ed esegue del codice dannoso.

“Un aggressore può utilizzare vari tipi di vettore per far sì che l’utente apra un flusso RSTP, incluso un file QuickTime Media Link”, si legge in questo advisory di US-CERT.

In attesa che Apple rilasci una versione aggiornata del proprio player, US-CERT ha pubblicato nel proprio advisory una serie di soluzioni temporanee per scongiurare brutte sorprese. In generale, tuttavia, dovrebbe essere sufficiente non aprire link del tipo “rtsp://” che provengano da fonti sconosciute o inaffidabili, oppure associare il protocollo RSTP ad un player diverso da QuickTime.

L’hacker che ha scoperto il bug, noto come “h07”, ne ha verificato l’esistenza in QuickTime 7.3 e 7.2 per Windows XP e Vista. Al momento non è chiaro se la falla esista anche nelle versioni per Mac OS X e se, in tal caso, gli utenti Mac corrano dei rischi.

Come si è detto, ancora non esiste una patch: non appena disponibile, questa verrà integrata in una versione aggiornata di QuickTime scaricabile dal sito di Apple o attraverso la funzionalità di aggiornamento automatico integrata nel player.