|
|
Vulnerabilidad en protocolo RTSP de Apple QuickTime
|
| |
VSantivirus No 2336 Año 11, miércoles 3 de enero de 2007
Vulnerabilidad en protocolo RTSP de Apple QuickTime
http://www.vsantivirus.com/vul-quicktime-rtsp-010107.htm
Por Angela Ruiz
angela@videosoft.net.uy
Se ha detectado una vulnerabilidad en Apple QuickTime 7, la cuál puede ser explotada por atacantes remotos para tomar el control completo del sistema afectado.
El problema lo ocasiona un desbordamiento de búfer cuando el programa maneja el Identificador Universal de Recursos "rtsp:".
URI (Uniform Resource Identifier o Identificador Universal de Recursos), es la secuencia de caracteres que identifica cualquier recurso (servicio, página, documento, dirección de correo electrónico, etc.) accesible en una red. Consta de dos partes, el identificador del método de acceso o protocolo (http:, ftp:, mailto:, etc.), y el nombre del recurso (//dominio, usuario@dominio, etc.).
RTSP (Real Time Streaming Protocol), es un protocolo utilizado para realizar streaming, técnica de transmisión unidireccional de contenidos de video y audio a través de Internet.
La vulnerabilidad puede ser explotada a través de sitios web maliciosos o mediante archivos QTL (un formato de video de QuickTime).
Son afectadas las versiones de Apple QuickTime versión 7.1.3 y anteriores (Windows y OSX).
Son vulnerables todos los usuarios que tengan instalado este programa en sus computadoras.
No existe ningún parche oficial al momento de publicarse esta alerta.
Se sugiere deshabilitar la asociación con archivos RTSP en QuickTime. Para ello, seleccione las propiedades del programa, "File Types", y en "Streaming - Streaming movies", desmarque la opción "RTSP stream descriptor".
Referencias:
Apple QuickTime Player "rtsp" URI Handling Remote Command Execution Vulnerability
http://www.frsirt.com/english/advisories/2007/0001
MOAB-01-01-2007: Apple Quicktime rtsp URL Handler Stack-based Buffer Overflow
http://projects.info-pull.com/moab/MOAB-01-01-2007.html
(c) Video Soft - http://www.videosoft.net.uy
(c) VSAntivirus - http://www.vsantivirus.com
|
 
|
|
