Informacje o zawartości związanej z zabezpieczeniami w programie QuickTime 7.4.5
Podsumowanie
W tym dokumencie opisano związaną z zabezpieczeniami zawartość programu QuickTime 7.4.5.
W celu ochrony swoich klientów firma Apple nie ujawnia, omawia ani potwierdza problemów dotyczących bezpieczeństwa, zanim nie zostaną one zbadane i dostępne będą wszelkie konieczne poprawki i wydania. Więcej informacji o serwisie Bezpieczeństwo produktów firmy Apple znajduje się w witrynie Bezpieczeństwo produktów firmy Apple.
Aby uzyskać informacje o kluczu PGP serwisu Bezpieczeństwo produktów firmy Apple, patrz artykuł „Jak używać klucza PGP serwisu Bezpieczeństwo produktów firmy Apple”.
Zawsze gdy jest to możliwe, w odniesieniu do luk używane są identyfikatory z katalogu CVE, aby ułatwić uzyskanie dalszych informacji.
Aby uzyskać informacje o innych uaktualnieniach zabezpieczeń, patrz artykuł „Uaktualnienia zabezpieczeń firmy Apple”.
Dotyczy produktów
QuickTime 7 (Windows), QuickTime 7 (OS X), Bezpieczeństwo produktów
QuickTime 7.4.5 QuickTime Identyfikator CVE: CVE-2008-1013 Dostępne dla systemów: Mac OS X 10.3.9, Mac OS X 10.4.9 lub nowszy, Mac OS X 10.5 lub nowszy, Windows Vista, XP z dodatkiem SP2 Zagrożenie: niezaufane aplety Java mogą uzyskiwać podwyższone uprawnienia. Opis: błąd implementacyjny w programie QuickTime for Java pozwala niezaufanym apletom Java na deserializację obiektów udostępnianych przez program QTJava. Odwiedzenie strony www zawierającej złośliwie przygotowany aplet Java może doprowadzić do ujawnienia poufnych informacji lub wykonania dowolnego kodu z uprawnieniami aktualnego użytkownika. To uaktualnienie rozwiązuje problem, usuwając możliwość deserializacji obiektów programu QTJava przez niezaufane aplety Java. Dziękujemy panu Adamowi Gowdiakowi za zgłoszenie tej usterki. QuickTime Identyfikator CVE: CVE-2008-1014 Dostępne dla systemów: Mac OS X 10.3.9, Mac OS X 10.4.9 lub nowszy, Mac OS X 10.5 lub nowszy, Windows Vista, XP z dodatkiem SP2 Zagrożenie: pobranie pliku wideo może doprowadzić do ujawnienia informacji. Opis: specjalnie przygotowane filmy QuickTime mogą automatycznie otwierać zewnętrzne adresy URL, co może doprowadzić do ujawnienia informacji. To uaktualnienie rozwiązuje ten problem, poprawiając obsługę zewnętrznych adresów URL osadzonych w plikach wideo. Dziękujemy pp. Jorge Escala z Open Tech Solutions oraz Vinoo Thomas i Rahul Mohandas z McAfee Avert Labs za zgłoszenie tej usterki. QuickTime Identyfikator CVE: CVE-2008-1015 Dostępne dla systemów: Mac OS X 10.3.9, Mac OS X 10.4.9 lub nowszy, Mac OS X 10.5 lub nowszy, Windows Vista, XP z dodatkiem SP2 Zagrożenie: wyświetlanie złośliwie spreparowanego pliku wideo może spowodować nieoczekiwane zamknięcie aplikacji lub wykonanie dowolnego kodu. Opis: błąd w kodzie obsługi atomów referencji danych w programie QuickTime może spowodować przepełnienie bufora. Wyświetlanie specjalnie spreparowanego pliku wideo może spowodować nieoczekiwane zamknięcie aplikacji lub wykonanie dowolnego kodu. Ta poprawka usuwa ten problem przez wprowadzenie dodatkowej weryfikacji atomów referencji danych. Dziękujemy panu Chrisowi Ries z Carnegie Mellon University Computing Services za zgłoszenie tej usterki. QuickTime Identyfikator CVE: CVE-2008-1016 Dostępne dla systemów: Mac OS X 10.3.9, Mac OS X 10.4.9 lub nowszy, Mac OS X 10.5 lub nowszy, Windows Vista, XP z dodatkiem SP2 Zagrożenie: wyświetlanie złośliwie spreparowanego pliku wideo może spowodować nieoczekiwane zamknięcie aplikacji lub wykonanie dowolnego kodu. Opis: w kodzie obsługi ścieżek mediów wideo istnieje błąd powodujący uszkodzenie zawartości pamięci. Wyświetlanie specjalnie spreparowanego pliku wideo może spowodować nieoczekiwane zamknięcie aplikacji lub wykonanie dowolnego kodu. To uaktualnienie rozwiązuje problem poprzez ulepszoną weryfikację ścieżek mediów wideo. QuickTime Identyfikator CVE: CVE-2008-1017 Dostępne dla systemów: Mac OS X 10.3.9, Mac OS X 10.4.9 lub nowszy, Mac OS X 10.5 lub nowszy, Windows Vista, XP z dodatkiem SP2 Zagrożenie: wyświetlanie złośliwie spreparowanego pliku wideo może spowodować nieoczekiwane zamknięcie aplikacji lub wykonanie dowolnego kodu. Opis: błąd w kodzie parsującym atomy „crgn” w programie QuickTime może spowodować przepełnienie bufora sterty. Wyświetlanie specjalnie spreparowanego pliku wideo może spowodować nieoczekiwane zamknięcie aplikacji lub wykonanie dowolnego kodu. To uaktualnienie rozwiązuje ten problem poprzez ulepszone sprawdzanie ograniczeń. Dziękujemy p. Sanbin Li współpracującemu z TippingPoint's Zero Day Initiative za zgłoszenie tej usterki. QuickTime Identyfikator CVE: CVE-2008-1018 Dostępne dla systemów: Mac OS X 10.3.9, Mac OS X 10.4.9 lub nowszy, Mac OS X 10.5 lub nowszy, Windows Vista, XP z dodatkiem SP2 Zagrożenie: wyświetlanie złośliwie spreparowanego pliku wideo może spowodować nieoczekiwane zamknięcie aplikacji lub wykonanie dowolnego kodu. Opis: błąd w kodzie parsującym atomy „chan” w programie QuickTime może spowodować przepełnienie bufora sterty. Wyświetlanie specjalnie spreparowanego pliku wideo może spowodować nieoczekiwane zamknięcie aplikacji lub wykonanie dowolnego kodu. To uaktualnienie rozwiązuje ten problem poprzez ulepszone sprawdzanie ograniczeń. Dziękujemy anonimowemu badaczowi współpracującemu z TippingPoint's Zero Day Initiative za zgłoszenie tej usterki. QuickTime Identyfikator CVE: CVE-2008-1019 Dostępne dla systemów: Mac OS X 10.3.9, Mac OS X 10.4.9 lub nowszy, Mac OS X 10.5 lub nowszy, Windows Vista, XP z dodatkiem SP2 Zagrożenie: otwarcie złośliwie spreparowanego pliku graficznego PICT może spowodować nieoczekiwane zamknięcie aplikacji lub wykonanie dowolnego kodu. Opis: błąd w kodzie obsługi rekordów plików PICT w programie QuickTime może spowodować przepełnienie bufora sterty. Wyświetlanie złośliwie spreparowanego pliku graficznego PICT może spowodować nieoczekiwane zamknięcie aplikacji lub wykonanie dowolnego kodu. To uaktualnienie rozwiązuje ten problem poprzez ulepszone sprawdzanie ograniczeń. Dziękujemy użytkownikowi bugfree współpracującemu z TippingPoint's Zero Day Initiative za zgłoszenie tej usterki. QuickTime Identyfikator CVE: CVE-2008-1020 Dostępne dla systemów: Windows Vista, XP z dodatkiem SP2 Zagrożenie: otwarcie złośliwie spreparowanego pliku graficznego PICT może spowodować nieoczekiwane zamknięcie aplikacji lub wykonanie dowolnego kodu. Opis: błąd w kodzie obsługi komunikatów błędów podczas przetwarzania obrazów PICT w programie QuickTime może spowodować przepełnienie bufora sterty. Wyświetlanie złośliwie spreparowanego pliku graficznego PICT może spowodować nieoczekiwane zamknięcie aplikacji lub wykonanie dowolnego kodu. To uaktualnienie rozwiązuje ten problem poprzez ulepszone sprawdzanie ograniczeń. Ten problem nie występuje na komputerach z systemem Mac OS X. Dziękujemy p. Rubenowi Santamarta z Reversemode.com, współpracującemu z TippingPoint's Zero Day Initiative, za zgłoszenie tej usterki. QuickTime Identyfikator CVE: CVE-2008-1021 Dostępne dla systemów: Windows Vista, XP z dodatkiem SP2 Zagrożenie: wyświetlanie złośliwie spreparowanego pliku wideo może spowodować nieoczekiwane zamknięcie aplikacji lub wykonanie dowolnego kodu. Opis: błąd w kodzie obsługi zawartości wymagającej kodeka Animation w programie QuickTime może spowodować przepełnienie bufora sterty. Wyświetlanie specjalnie spreparowanego pliku wideo z zawartością wymagającą kodeka Animation może spowodować nieoczekiwane zamknięcie aplikacji lub wykonanie dowolnego kodu. To uaktualnienie rozwiązuje ten problem poprzez ulepszone sprawdzanie ograniczeń. Ten problem nie występuje na komputerach z systemem Mac OS X. Dziękujemy anonimowemu badaczowi współpracującemu z TippingPoint's Zero Day Initiative za zgłoszenie tej usterki. QuickTime Identyfikator CVE: CVE-2008-1022 Dostępne dla systemów: Mac OS X 10.3.9, Mac OS X 10.4.9 lub nowszy, Mac OS X 10.5 lub nowszy, Windows Vista, XP z dodatkiem SP2 Zagrożenie: wyświetlanie złośliwie spreparowanego pliku wideo QuickTime VR może spowodować nieoczekiwane zamknięcie aplikacji lub wykonanie dowolnego kodu. Opis: błąd w kodzie parsującym atomy „obji” w programie QuickTime może spowodować przepełnienie bufora stosu. Wyświetlanie złośliwie spreparowanego pliku wideo QuickTime VR może spowodować nieoczekiwane zamknięcie aplikacji lub wykonanie dowolnego kodu. To uaktualnienie rozwiązuje ten problem poprzez ulepszone sprawdzanie ograniczeń. Dziękujemy anonimowemu badaczowi współpracującemu z TippingPoint's Zero Day Initiative za zgłoszenie tej usterki.