Avis du CERT-FR
Objet : Vulnérabilités dans Apple QuickTime et iPhoto
Gestion du document
Une gestion de version détaillée se trouve à la fin de ce document.
Risques
- Contournement de la politique de sécurité
- Déni de service à distance
- Exécution de code arbitraire à distance
Systèmes affectés
- les versions d'Apple iPhoto antérieures à 7.1.2.
- Les versions d'Apple QuickTime antérieures à 7.4.1 ;
Résumé
Plusieurs vulnérabilités ont été identifiées dans les applications Apple QuickTime et iPhoto. L'une d'elles a d'ailleurs fait l'objet de l'alerte CERTA-2008-ALE-001 publiée le 11 janvier 2008.
Les conséquences de l'exploitation de ces vulnérabilités sont variées, permettant pour certaines d'exécuter du code arbitraire à distance sur un système vulnérable.
Description
Plusieurs vulnérabilités ont été identifiées dans les applications Apple QuickTime et iPhoto.
L'une d'elles, sur QuickTime, a d'ailleurs fait l'objet de l'alerte CERTA-2008-ALE-001 publiée le 11 janvier 2008. Elle concerne un dépassement de mémoire tampon lors d'une tentative infructueuse de lecture de lecture d'un fichier via le protocole Real Time Streaming Protocol (RTSP).
iPhoto, quant à lui, ne manipulerait pas correctement certaines diffusions de photos (photocast) spécialement construites.
Solution
Se référer aux bulletins de sécurité de l'éditeur pour l'obtention des correctifs (cf. section Documentation).
Documentation
-
Bulletin de sécurité Apple 307398 du 04 février 2008 :
http://docs.info.apple.com/article.html?artnum=307398 -
Bulletin de sécurité Apple 307407 du 04 février 2008 :
http://docs.info.apple.com/article.html?artnum=307407 -
Document du CERTA CERTA-2008-ALE-001 du 14 janvier 2008 :
http://www.certa.ssi.gouv.fr/site/CERTA-2008-ALE-001/index.html -
Référence CVE CVE-2008-0043
https://www.cve.org/CVERecord?id=CVE-2008-0043 -
Référence CVE CVE-2008-0234
https://www.cve.org/CVERecord?id=CVE-2008-0234
Gestion détaillée du document
| Date | Description |
|---|---|
| 07 février 2008 | version initiale. |