Vulnérabilités : Apple et Microsoft inquiets pour Windows

Le par  |  11 commentaire(s) Source : Par la rédaction de Vulnérabilité.com

D'un côté, la firme de Cupertino publie une mise à jour QuickTime pour combler sept vulnérabilités, et de l'autre, celle de Redmond recommande l'application d'un patch pour prendre en charge une vulnérabilité dans un pilote Macrovision. Dénominateur commun, Windows XP est concerné dans les deux cas.

Nos confrères du site de sécurité Vulnérabilité.com nous apprennent que lundi, Apple a mis en ligne sur son site une nouvelle version de QuickTime pour Mac OS X et Windows XP SP2 ainsi que Vista. Une mouture estampillée 7.3 principalement placée sous le signe de la sécurité puisque destinée à combler pas moins de sept vulnérabilités. Via l'exploitation de l'une d'entre elles, du code arbitraire peut être exécuté par un attaquant distant. En cause, un dépassement de mémoire tampon lors du traitement de fichiers vidéo ou image spécialement conçus, voire d'un applet Java malicieux hébergés sur des sites piégés consultés par l'utilisateur pris pour cible.

Ces sept vulnérabilités détaillées dans le bulletin émis par Apple, font suite à huit autres corrigées en juillet lors de la sortie de QuickTime 7.2. Un nombre de failles relativement important qui ne risque pas de redorer l'image de QuickTime en entreprise et dans un environnement Windows en particulier. Cette mauvaise réputation sera d'autant plus difficile à faire oublier que peu de temps avant la publication de QuickTime 7.3, Bit9, éditeur connu pour sa solution de détection de virus et malwares Parity, avait pour la énième fois épinglé l'application d' Apple en la plaçant en tête de liste 2007 des applications Windows les plus vulnérables fréquemment téléchargées par les employés qui présentent de sérieux risques pour l'environnement IT de l'entreprise (applications difficiles à localiser ou à patcher).

Toujours en début de semaine et quelques heures après Apple, c'était au tour de Microsoft d'émettre un avis de sécurité au sujet d'une faille affectant le pilote secdrv.sys de Macrovision. Ce pilote vulnérable en corrélation avec la solution SafeDisc de lutte contre le piratage des CD et DVD du spécialiste des technologies DRM, est présent par défaut dans Windows XP et 2003 (la version incluse dans Vista n'est pas vulnérable), d'où les inquiétudes du leader mondial du logiciel, d'autant que les premiers rapports d'exploitation sont tombés.

Par l'exploitation de cette faille, un utilisateur enregistré pour procéder à l'élévation de ses privilèges. Pour procéder, il lui suffit de solliciter le pilote en lui passant des paramètres manipulés pour écrire du code arbitraire en mémoire et l'exécuter avec les droits système. Comme cet exploit est uniquement local, les risques sont minimes pour les particuliers qui travaillent le plus souvent avec un seul compte sur leurs ordinateurs. Une situation plus problématique pour les réseaux d'entreprise où de multiples utilisateurs avec des privilèges différents peuvent se loguer sur différentes machines.

Macrovision propose déjà un patch pour son pilote afin de corriger le problème. Ce patch sera distribué par Microsoft par l'intermédiaire de Windows Update dans le cadre d'un prochain Patch Tuesday, vraisemblablement celui du mardi 13 novembre. Microsoft regrette toutefois que cette vulnérabilité ait été divulguée publiquement, sans faire l'objet d'une communication privée au préalable.
Complément d'information

Vos commentaires Page 1 / 2

Gagnez chaque mois un abonnement Premium avec GNT : Inscrivez-vous !
Trier par : date / pertinence
Le #190320
Personellement chez moi, le QuickTime est un composant que je n'installe pas (et l'on peut tout à fait s'en passer !!!)

BàV
Le #190322
y a encore des gens qui utilisent ce logiciel?
Le #190323
Le lien sur "en tête de liste 2007" ne semble pas marcher
Le #190325
Quick Time s'intall malheuresement avec iTune, que tout les utilisateur d'ipod utilise.
Encore un belle exemple d'installation forcé.
Le pire c'est que iTune pour pouvoir se lancé, et encoder des cd, requiere une session de type administrateur.

Conclusion, bannir tout solution logiciel Apple sur un environement windows est un bon principe de précaution.
Le #190326
Vive quicktime-alternative! Le logiciel qui évite d'avoir l'usine a gaz.
Le #190337
mais qui n'evite pas les failles -_-'
Le #190342
Jarode>

Il y a des alternatives à iTunes. Elles sont gratuites et qui plus est opensource pour certaines.

http://www.generation-nt.com/sharepod-telechargement-41201.html

http://www.generation-nt.com/yamipod-telechargement-42262.html



Le #190345
Effectivement,
Je m'etait jamais pencher sur la question, n'etant pas concerné.
J'avais seulement rencontré le probleme de droit lié à iTunes.
Chose inadmissible d'ailleur.

Mais bon cela n'empeche pas l'installation forcé par defaut de connaissance (pour tout les novices du sujet) d'iTunes et donc de Quick Time.
Le #190346
@Dimitri T.: Ce genre de logiciel ne fonctionne pas encore pour les nouveau iPod nano et iPod Touch, pour le classic je sais que la protection est cassé mais je sais pas si c'est déjà implémanter dans les logiciel...
Suivre les commentaires
Poster un commentaire
Anonyme
:) ;) :D ^^ 8) :| :lol: :p :-/ :o :w00t: :roll: :( :cry: :facepalm:
:andy: :annoyed: :bandit: :alien: :ninja: :agent: :doh: :@ :sick: :kiss: :love: :sleep: :whistle: =]