Desbordamiento de búfer en QuickTime Player

VSantivirus No. 1000, Año 7, Jueves 3 de abril de 2003

Desbordamiento de búfer en QuickTime Player
http://www.vsantivirus.com/vul-quicktime-url.htm

Por Redacción VSAntivirus
vsantivirus@videosoft.net.uy

QuickTime Player es un popular reproductor de medios usado tanto en plataformas Windows como Apple Mackintosh. Recientemente se ha descubierto en su versión Windows, una vulnerabilidad producida por un desbordamiento de búfer que puede permitir la ejecución de código aleatorio en la máquina afectada.

La falla ocurre por un error en la forma de gestionar las URLs. Un URL (Uniform Resources Locator o Localizador Uniforme de Recursos), es un "apuntador" a la ubicación de cualquier archivo, como por ejemplo una página HTML.

Cuando se accede a un recurso de QuickTime de la forma "quicktime://recurso" o "QuickTimePlayer.exe -u recurso", si la URL a la que se intenta acceder excede los 400 caracteres se produce un desbordamiento de búfer, al sobrepasarse el espacio asignado en memoria para el manejo de las direcciones. Los desbordamientos de búfer de este tipo son los más comunes, y prácticamente todo el software conocido lo sufre, solo que la mayoría no ha sido probado aún.

Cuando la cantidad de bytes supera esa cantidad, el resto de ellos "cae" en partes críticas, de modo que incluso podrían ser ejecutados como cualquier programa, en este caso automáticamente. Un uso maligno de esta falla, podría permitir la ejecución de virus o troyanos en nuestro sistema. De todos modos, la mayoría de las veces se produce un cuelgue del programa reproductor (negación de servicio), o incluso de todo el sistema operativo.

Por defecto, QuickTime se instala en el registro de la siguiente forma:

HKEY_CLASSES_ROOT/quicktime
[camino]\QuickTimePlayer.exe -u"%1"

Esto supone un riesgo importante, ya que por defecto cualquier cliente QuickTime es vulnerable.

Las versiones afectadas son las versiones 5.x y 6.0 para plataformas Windows.

La solución es descargar e instalar la versión 6.1, en donde la falla ha sido solucionada.

Descarga de QuickTime 6.1:
http://www.apple.com/quicktime/download/

(c) Video Soft - http://www.videosoft.net.uy
(c) VSAntivirus - http://www.vsantivirus.com