Faille QuickTime : utilisateurs Vista / Firefox en danger

La société danoise de sécurité Secunia a émis hier un bulletin d'alerte au sujet d'une nouvelle vulnérabilité affectant le lecteur multimédia d'Apple, dernière version comprise. Qualifiée d'extrêmement critique, cette vulnérabilité est due à une erreur lors du traitement d'une réponse RTSP contenant une entête Content-Type excessivement longue afin de provoquer un débordement de tampon et permettre l'exécution de code arbitraire. RTSP pour Real Time Streaming Protocol est un protocole de streaming temps réel.

Pour démontrer l'existence de cette faille, son découvreur a publié une preuve de concept ( POC ) fonctionnelle sous Windows XP SP2. Symantec l'a étudiée et a fourni quelques éléments supplémentaires d'information. L'éditeur américain de solutions de sécurité en est notamment parvenu à la conclusion que dans le cadre d'une exploitation via navigateur Web, après ouverture d'un lien renvoyant vers une page Web intégrant un objet QuickTime malicieux, l'utilisateur d'Internet Explorer 6/7 ou Safari Bêta 3 bénéficie d'une protection à contrario des utilisateurs de Firefox. Avec le fureteur de Mozilla, la requête RTSP initiée par l'objet QuickTime est en effet traitée en tant que processus hors de son contrôle.

A noter également qu'une autre POC est actuellement en circulation sur la Toile et prouve que la faille est tout aussi bien exploitable sous Windows Vista, une exploitation encore plus facile à mettre en oeuvre aux dires de son auteur.

En attendant la publication d'un correctif made in Apple, il est recommandé de ne pas ouvrir de fichiers QuickTime douteux ou suivre des liens provenant de sites non sûrs. Par ailleurs, le port TCP 554 étant utilisé pour recevoir la réponse RTSP malicieuse provenant d'un serveur distant, ce port peut être bloqué.