Kritische Lücke in Apples Quicktime

Die vom Sicherheitsforscher Luigi Auriemma ursprünglich entdeckte Schwachstelle betrifft einen Pufferüberlauf im Zusammenhang mit Fehlermeldungen des von Apple auch für Quicktime genutzten RTSP-Streaming-Protokolls. Von der Schwachstelle betroffen ist die Version 7.3.1.70 von Quicktime.

Ein Angreifer kann die als sehr kritisch eingestufte Schwachstelle über eine manipulierte Webseite oder eine manipulierte Quicktime-Media-Link-Datei (QTL) ausnutzen. Bei einem erfolgreichen Angriff kann auf einem ungepatchten System ohne Wissen des Anwenders beliebiger Schadcode ausgeführt werden.

Secunia weißt darauf hin, dass auch ältere Versionen des Apple-Media-Players anfällig für die Schwachstelle sein könnten. Das Unternehmen rät, nur vertrauenswürdige Webseiten zu besuchen und keine unbekannten Links oder QTL-Dateien zu öffnen.

Apples Quicktime-Player gerät immer öfter ins Visier von Cyber-Kriminellen. Secunia hat seit September 2006 über weitere zehn Schwachstellen im Quicktime berichtet, die alle mindestens als sehr kritisch bezeichnet wurden. Die durch die Kopplung an Apples iTunes noch gestiegene Verbreitung erhöht zudem die Motivation für Hacker, entsprechende Exploits für Sicherheitslücken in Quicktime zu entwickeln.

Im November hatte Quicktime bei einer Untersuchung von Sicherheitsforschern den zweiten Platz in einer Top-Ten der gefährlichsten Web-Anwendungen belegt. Wann Apple die Zero-Day-Lücke schließen kann ist derzeit noch unbekannt.