Sobre o conteúdo de segurança do QuickTime 7.4.5
Resumo
Este documento descreve o conteúdo de segurança do QuickTime 7.4.5.
Para fins de proteção de nossos clientes, a Apple não divulga, discute ou confirma problemas de segurança até que uma ampla investigação tenha sido feita e que as correções ou versões necessárias estejam disponíveis. Para saber mais sobre segurança do produto Apple, consulte o site Segurança do produto Apple.
Para obter informações sobre a chave PGP de segurança do produto Apple, consulte Como usar a chave PGP de segurança do produto Apple.
Quando possível, serão usadas IDs de CVE para indicar as vulnerabilidades e permitir que o usuário obtenha informações mais detalhadas.
Para saber mais sobre outras atualizações de segurança, consulte "Atualizações de segurança da Apple".
Produtos afectados
QuickTime 7 (Windows), QuickTime 7 (OS X), Segurança de produtos
QuickTime 7.4.5 QuickTime ID CVE: CVE-2008-1013 Disponível para: Mac OS X v10.3.9, Mac OS X v10.4.9 ou posterior, Mac OS X v10.5 ou posterior, Windows Vista, XP SP2 Impacto: applets Java não-confiáveis podem obter privilégios elevados Descrição: um problema de implementação no QuickTime para Java permite que applets não-confiáveis retirem de série objetos fornecidos pelo QTJava. Visitar um página da Web com applets Java maliciosos pode permitir a divulgação de informações confidenciais ou a execução aleatória do código com os privilégios do usuário atual. Esta atualização soluciona o problema desabilitando a capacidade de applets Java não-confiáveis retirarem de série objetos QTJava. Agradecemos a Adam Gowdiak por reportar este problema. QuickTime ID CVE: CVE-2008-1014 Disponível para:Mac OS X v10.3.9, Mac OS X v10.4.9 ou posterior, Mac OS X v10.5 ou posterior, Windows Vista, XP SP2 Impacto: baixar filmes pode causar a divulgação de informações Descrição: filmes QuickTime especialmente desenvolvidos podem abrir URLs externos automaticamente, o que pode causar a divulgação de informações. Esta atualização soluciona o problema através do tratamento aprimorado de URLs externos inseridos em arquivos de filme. Agradecemos a Jorge Escala da Open Tech Solutions e Vinoo Thomas e Rahul Mohandas do McAfee Avert Labs por reportarem este problema. QuickTime ID CVE: CVE-2008-1015 Disponível para: Mac OS X v10.3.9, Mac OS X v10.4.9 ou posterior, Mac OS X v10.5 ou posterior, Windows Vista, XP SP2 Impacto: visualizar um arquivo de filme projetado com códigos maliciosos pode causar o encerramento inesperado do aplicativo ou a execução aleatória do código Descrição: um problema quando o QuickTime lida com elementos de referência de dados pode causar uma sobrecarga de buffer. Abrir um arquivo de filme projetado com códigos maliciosos pode causar o encerramento inesperado do aplicativo ou a execução aleatória do código. Esta atualização soluciona o problema através de uma validação adicional dos elementos de referência de dados. Agradecemos Chris Ries da Carnegie Mellon University Computing Services por reportar o problema. QuickTime ID CVE: CVE-2008-1016 Disponível para: Mac OS X v10.3.9, Mac OS X v10.4.9 ou posterior, Mac OS X v10.5 ou posterior, Windows Vista, XP SP2 Impacto: visualizar um arquivo de filme projetado com códigos maliciosos pode causar o encerramento inesperado do aplicativo ou a execução aleatória do código Descrição: um problema de memória corrompida ocorre quando o QuickTime lida com trilhas de mídia de filmes. Abrir um arquivo de filme projetado com códigos maliciosos pode causar o encerramento inesperado do aplicativo ou a execução aleatória do código. Esta atualização soluciona o problema através da validação de trilhas de mídia de filmes. QuickTime ID CVE: CVE-2008-1017 Disponível para: Mac OS X v10.3.9, Mac OS X v10.4.9 ou posterior, Mac OS X v10.5 ou posterior, Windows Vista, XP SP2 Impacto: visualizar um arquivo de filme projetado com códigos maliciosos pode causar o encerramento inesperado do aplicativo ou a execução aleatória do código Descrição: um problema quando o QuickTime analisa os elementos 'crgn' pode causar uma sobrecarga no buffer de pilha. Visualizar um arquivo de filme projetado com códigos maliciosos pode causar o encerramento inesperado do aplicativo ou a execução aleatória do código. Esta atualização soluciona o problema através de verificação aprimorada de limites. Agracedemos Sanbin Li que trabalha com a TippingPoint's Zero Day Initiative por reportar o problema. QuickTime ID CVE: CVE-2008-1018 Disponível para: Mac OS X v10.3.9, Mac OS X v10.4.9 ou posterior, Mac OS X v10.5 ou posterior, Windows Vista, XP SP2 Impacto: visualizar um arquivo de filme projetado com códigos maliciosos pode causar o término inesperado do aplicativo ou a execução descontrolada do código Descrição: um problema quando o QuickTime analisa os elementos 'chan' pode causar uma sobrecarga no buffer de pilha. Visualizar um arquivo de filme projetado com códigos maliciosos pode causar o encerramento inesperado do aplicativo ou a execução aleatória do código. Esta atualização soluciona o problema através de verificação aprimorada de limites. Agracedemos um pesquisador anônimo que trabalha com a TippingPoint's Zero Day Initiative por reportar o problema. QuickTime ID CVE: CVE-2008-1019 Disponível para: Mac OS X v10.3.9, Mac OS X v10.4.9 ou posterior, Mac OS X v10.5 ou posterior, Windows Vista, XP SP2 Impacto: abrir uma imagem PICT projetada com códigos maliciosos pode causar o encerramento inesperado do aplicativo ou a execução aleatória do código Descrição: um problema quando o QuickTime lida com os registros PICT pode causar uma sobrecarga no buffer de pilha. Visualizar um arquivo de imagem PICT projetado com códigos maliciosos pode causar o encerramento inesperado do aplicativo ou a execução aleatória do código. Esta atualização soluciona o problema através de verificação aprimorada de limites. Agradecemos bugfree que trabalha com TippingPoint's Zero Day Initiative por reportar o problema. QuickTime ID CVE: CVE-2008-1020 Disponível para: Windows Vista, XP SP2 Impacto: abrir um arquivo de imagem PICT projetado com códigos maliciosos pode causar o encerramento inesperado do aplicativo ou a execução aleatória do código Descrição: um problema quando o QuickTime lida com mensagens de erro durante o processamento de imagens PICT pode causar uma sobrecarga no buffer de pilha. Visualizar uma imagem PICT projetada com códigos maliciosos pode causar o encerramento inesperado do aplicativo ou a execução aleatória do código. Esta atualização soluciona o problema através de verificação aprimorada de limites. Este problema não afeta sistemas Mac OS X. Agradecemos a Ruben Santamarta da Reversemode.com que trabalhou com a TippingPoint's Zero Day Initiative por reportar o problema. QuickTime ID CVE: CVE-2008-1021 Disponível para: Windows Vista, XP SP2 Impacto: visualizar um arquivo de filme projetado com códigos maliciosos pode causar o encerramento inesperado do aplicativo ou a execução aleatória do código Descrição: um problema quando o QuickTime lida com conteúdo codec de animação pode causar uma sobrecarga no buffer de pilha. Visualizar um arquivo de filme projetado com códigos maliciosos com conteúdo codec de animação pode causar o encerramento inesperado do aplicativo ou a execução aleatória do código. Esta atualização soluciona o problema através de verificação aprimorada de limites. Este problema não afeta sistemas Mac OS X. Agracedemos um pesquisador anônimo que trabalha com a TippingPoint's Zero Day Initiative por reportar o problema. QuickTime ID CVE: CVE-2008-1022 Disponível para: Mac OS X v10.3.9, Mac OS X v10.4.9 ou posterior, Mac OS X v10.5 ou posterior, Windows Vista, XP SP2 Impacto: visualizar um arquivo de filme QuickTime VR projetado com códigos maliciosos pode causar o encerramento inesperado do aplicativo ou a execução aleatória do código Descrição: um problema quando o QuickTime analisa elementos 'obji' pode causar uma sobrecarga no buffer de pilha. Visualizar um arquivo de filme QuickTime VR projetado com códigos maliciosos pode causar o encerramento inesperado do aplicativo ou a execução aleatória do código. Esta atualização soluciona o problema através de verificação aprimorada de limites. Agracedemos um pesquisador anônimo que trabalha com a TippingPoint's Zero Day Initiative por reportar o problema.