À propos des correctifs de sécurité de QuickTime 7.4

Ce document décrit les correctifs de sécurité de QuickTime 7.4, que vous pouvez télécharger et installer via les préférences de Mise à jour logicielle, ou depuis la page Téléchargements du site d’assistance Apple.

Dans un souci de protection de ses clients, Apple s’interdit de divulguer, d’aborder ou de confirmer l’existence de failles de sécurité tant qu’une enquête approfondie n’a pas été effectuée et que les correctifs ou mises à jour nécessaires ne sont pas disponibles. Pour obtenir des renseignements supplémentaires sur la sécurité produit d’Apple, consultez le site web Sécurité produit d’Apple.

Pour en savoir plus sur la clé PGP du groupe de sécurité produit d’Apple, consultez l’article Comment utiliser la clé PGP du groupe de sécurité produit d’Apple.

Des références CVE sont utilisées, le cas échéant, pour répertorier les vulnérabilités et fournir des informations supplémentaires.

Pour obtenir des informations sur les autres mises à jour de sécurité, consultez l’article Mises à jour de sécurité d’Apple.

QuickTime 7.4

QuickTime

CVE-ID : CVE-2008-0031

Disponible pour : Mac OS X v10.3.9, Mac OS X v10.4.9 ou version ultérieure, Mac OS X v10.5 ou version ultérieure, Windows Vista, XP SP2

Conséquence : l’ouverture d’un fichier vidéo malveillant peut entraîner la fermeture inopinée de l’application ou l’exécution arbitraire de code.

Description : un problème de corruption de la mémoire affecte la gestion des fichiers vidéo Sorenson 3 par QuickTime. Cela peut entraîner la fermeture inopinée de l’app ou une exécution arbitraire de code. Cette mise à jour résout le problème en effectuant une validation supplémentaire des fichiers vidéo Sorenson 3. Nous remercions Joe Schottman de Virginia Tech d’avoir signalé ce problème.

QuickTime

CVE-ID : CVE-2008-0032

Disponible pour : Mac OS X v10.3.9, Mac OS X v10.4.9 ou version ultérieure, Mac OS X v10.5 ou version ultérieure, Windows Vista, XP SP2

Conséquence : l’ouverture d’un fichier vidéo malveillant peut entraîner la fermeture inopinée de l’application ou l’exécution arbitraire de code.

Description : un problème de corruption de la mémoire affecte la gestion des enregistrements de ressources Macintosh par QuickTime dans les fichiers vidéo. L’ouverture d’un fichier vidéo malveillant peut entraîner la fermeture inopinée de l’application ou une exécution arbitraire de code. Cette mise à jour résout le problème en effectuant une validation supplémentaire des fichiers vidéo. Nous remercions Jun Mao de VeriSign iDefense Labs d’avoir signalé ce problème.

QuickTime

CVE-ID : CVE-2008-0033

Disponible pour : Mac OS X v10.3.9, Mac OS X v10.4.9 ou version ultérieure, Mac OS X v10.5 ou version ultérieure, Windows Vista, XP SP2

Conséquence : l’ouverture d’un fichier vidéo malveillant peut entraîner la fermeture inopinée de l’application ou l’exécution arbitraire de code.

Description : un problème de corruption de la mémoire affecte l’analyse par QuickTime des atomes IDSC (Image Descriptor). L’ouverture d’un fichier vidéo malveillant peut entraîner la fermeture inopinée de l’application ou une exécution arbitraire de code. Cette mise à jour résout le problème en effectuant une validation supplémentaire des atomes IDSC dans les fichiers vidéo. Nous remercions Cody Pierce of TippingPoint DVLabs d’avoir signalé ce problème.

QuickTime

CVE-ID : CVE-2008-0036

Disponible pour : Mac OS X v10.3.9, Mac OS X v10.4.9 ou version ultérieure, Mac OS X v10.5 ou version ultérieure, Windows Vista, XP SP2

Conséquence : l’ouverture d’une image PICT malveillante peut entraîner la fermeture inopinée de l’app ou une exécution arbitraire de code.

Description : un dépassement de la mémoire tampon peut se produire lors du traitement d’une image PICT compressée. L’ouverture d’un fichier PICT compressé malveillant peut entraîner la fermeture inopinée de l’application ou une exécution arbitraire de code. Cette mise à jour résout le problème en mettant fin au décodage lorsque le résultat dépasserait la fin du tampon de destination. Nous remercions Chris Ries de Carnegie Mellon University Computing Services de nous avoir signalé ce problème.