QuickTime affecté par une nouvelle faille de sécurité

Apple est de nouveau confronté à un problème de sécurité présenté par un chercheur indépendant. Krystian Kloskowski a publié la démonstration (proof-of-concept) de l’existence d’une vulnérabilité dans l’application multimédia QuickTime.

Le chercheur déclare qu’une attaque réussie permettrait l’exécution distante de code malveillant. L’exploit s’appuie sur une faille dans la façon dont QuickTime gère les données des fichiers en streaming.

Des données malformées peuvent se dissimuler derrière un flux pour provoquer un dépassement de mémoire tampon, ce qui permettrait à l’attaquant d’accéder au système avec les privilèges de l’utilisateur local. Même une attaque ratée pourrait planter le lecteur multimédia, selon Krystian Kloskowski.

La méthode d’exploitation de la faille se limite à un exemple de preuve de faisabilité pour démontrer la présence de la vulnérabilité. Aucune attaque réelle n’a été rapportée à ce jour.

De nombreux utilisateurs seront réconfortés de savoir que le choix de leur navigateur pourrait empêcher l’attaque. Les chercheurs de Symantec ont constaté que Internet Explorer 6 et 7 empêchent l’exploitation de la faille. La dernière version de Safari pour Windows est également protégée. Mais la vunérabilité demeure avec le navigateur Mozilla Firefox.

« Les utilisateurs de Firefox sont plus vulnérables car le navigateur gère directement la requête à travers le lecteur QuickTime dans un processus extérieur à son contrôle« , écrit Ellia Florio, chercheur chez Symantec, dans le blog de l’éditeur. « En conséquence, la version actuelle de l’exploit fonctionne parfaitement avec Firefox si l’utilisateur a sélectionné QuickTime comme le lecteur multimédia par défaut. »

Ellia Florio avertit que les attaquants pourraient modifier l’exploit afin qu’il fonctionne dans d’autres navigateurs. Il recommande aux utilisateurs de paramétrer leur firewall pour bloquer le trafic sortant de TCP 554 et éviter de suivre les liens maliveillants.

Cette nouvelle vulnérabilité vient à un moment difficile pour Apple sur le front de la sécurité. Les chercheurs ont critiqué l’entreprise début novembre pour les carences du pare-feu du nouveau système d’exploitation Mac OS X Leopard. Apple avait publié un correctif, mais quelques jours plus tard, les chercheurs ont constaté que l’éditeur avait laissé une faille ouverte dans l’application Mail Leopard qui avait déjà été corrigée. Parallèlement, un cheval de Troie ciblant les utilisateurs de Mac a continué de se développer sur de faux sites de codecs.

Adaptation de l’article QuickTime flaw adds to Apple’s woes de Vnunet.com en date du 27 novembre 2007.