À propos des correctifs de sécurité de QuickTime 7.5
Ce document décrit les correctifs de sécurité de QuickTime 7.5, que vous pouvez télécharger et installer via les préférences de Mise à jour logicielle, ou depuis la page Téléchargements du site d’assistance Apple.
Dans un souci de protection de ses clients, Apple s’interdit de divulguer, d’aborder ou de confirmer l’existence de failles de sécurité tant qu’une enquête approfondie n’a pas été effectuée et que les correctifs ou mises à jour nécessaires ne sont pas disponibles. Pour obtenir des renseignements supplémentaires sur la sécurité produit d’Apple, consultez le site web Sécurité produit d’Apple.
Pour en savoir plus sur la clé PGP du groupe de sécurité produit d’Apple, consultez l’article Comment utiliser la clé PGP du groupe de sécurité produit d’Apple.
Des références CVE sont utilisées, le cas échéant, pour répertorier les vulnérabilités et fournir des informations supplémentaires.
Pour obtenir des informations sur les autres mises à jour de sécurité, consultez l’article Mises à jour de sécurité d’Apple.
QuickTime 7.5
QuickTime
CVE-ID : CVE-2008-1581
Disponible pour : Windows Vista, XP SP2
Conséquence : l’ouverture d’un fichier image PICT malveillant peut entraîner l’arrêt inopiné de l’app ou une exécution arbitraire de code.
Description : un problème au niveau de la gestion des structures PixData par QuickTime lors du traitement d’une image PICT peut entraîner un dépassement de la mémoire tampon. L’ouverture d’une image PICT malveillante peut entraîner la fermeture inopinée de l’app ou une exécution arbitraire de code. Cette mise à jour résout le problème grâce à une meilleure vérification des limites. Ce problème n’affecte pas les systèmes exécutant Mac OS X. Nous remercions Dyon Balding de Secunia Research d’avoir signalé ce problème.
QuickTime
CVE-ID : CVE-2008-1582
Disponible pour : Mac OS X v10.3.9, Mac OS X v10.4.9 à v10.4.11, Mac OS X v10.5 ou version ultérieure, Windows Vista, XP SP2
Conséquence : l’ouverture d’un contenu multimédia codé AAC malveillant peut entraîner la fermeture inopinée de l’app ou une exécution arbitraire de code.
Description : un problème de corruption de la mémoire affecte la gestion du contenu multimédia codé AAC par QuickTime. L’ouverture d’un fichier multimédia malveillant peut entraîner la fermeture inopinée de l’app ou une exécution arbitraire de code. Cette mise à jour résout le problème en effectuant une validation supplémentaire des fichiers multimédias. Nous remercions Dave Soldera de NGS Software et Jens Alfke d’avoir signalé ce problème.
QuickTime
CVE-ID : CVE-2008-1583
Disponible pour : Mac OS X v10.3.9, Mac OS X v10.4.9 à v10.4.11, Mac OS X v10.5 ou version ultérieure, Windows Vista, XP SP2
Conséquence : l’ouverture d’un fichier image PICT malveillant peut entraîner l’arrêt inopiné de l’app ou une exécution arbitraire de code.
Description : un dépassement de la mémoire tampon affecte la gestion des images PICT par QuickTime. L’ouverture d’un fichier image PICT malveillant peut entraîner l’arrêt inopiné de l’app ou une exécution arbitraire de code. Cette mise à jour résout le problème grâce à une meilleure vérification des limites. Nous remercions Liam O Murchu de Symantec d’avoir signalé ce problème.
QuickTime
CVE-ID : CVE-2008-1584
Disponible pour : Mac OS X v10.3.9, Mac OS X v10.4.9 à v10.4.11, Mac OS X v10.5 ou version ultérieure, Windows Vista, XP SP2
Conséquence : l’affichage de contenu vidéo Indeo 4 malveillant peut entraîner la fermeture inopinée de l’app ou une exécution arbitraire de code.
Description : un problème au niveau de la gestion du contenu de codec vidéo Indeo par QuickTime peut entraîner un dépassement de la mémoire tampon de la pile. L’affichage d’un fichier vidéo malveillant avec du contenu codec vidéo Indeo peut entraîner la fermeture inopinée de l’app ou une exécution arbitraire de code. Cette mise à jour résout le problème en supprimant le rendu du contenu codec vidéo Indeo 4. Nous remercions un chercheur anonyme, en collaboration avec le programme Zero Day Initiative de TippingPoint, d’avoir signalé ce problème.
QuickTime
CVE-ID : CVE-2008-1585
Disponible pour : Mac OS X v10.3.9, Mac OS X v10.4.9 à v10.4.11, Mac OS X v10.5 ou version ultérieure, Windows Vista, XP SP2
Conséquence : la lecture de contenu QuickTime malveillant dans QuickTime Player peut entraîner une exécution arbitraire de code.
Description : un problème de gestion d’URL affecte la gestion des URL file: par QuickTime. Cela peut permettre le lancement d’apps et de fichiers arbitraires lorsqu’un utilisateur lit du contenu QuickTime malveillant dans QuickTime Player. Cette mise à jour résout le problème en affichant les fichiers dans le Finder ou dans l’explorateur Windows au lieu de les lancer. Nous remercions Vinoo Thomas et Rahul Mohandas de McAfee Avert Labs, et Petko D. (pdp) Petkov de GNUCITIZEN, en collaboration avec le programme Zero Day Initiative de TippingPoint, d’avoir signalé ce problème.
QuickTime
CVE-ID : CVE-2008-2319
Disponible pour : Mac OS X v10.3.9, Mac OS X v10.4.9 à v10.4.11, Mac OS X v10.5 ou version ultérieure, Windows Vista, XP SP2
Conséquence : l’ouverture d’un fichier image PICT malveillant peut entraîner l’arrêt inopiné de l’app ou une exécution arbitraire de code.
Description : un problème d’extension de signe au niveau de la gestion des images PICT par QuickTime peut entraîner un dépassement de la mémoire tampon. L’ouverture d’un fichier image PICT malveillant peut entraîner l’arrêt inopiné de l’app ou une exécution arbitraire de code. Cette mise à jour résout le problème en traitant la valeur comme non signée. Nous remercions Sergio « shadown » Alvarez de n.runs AG d’avoir signalé ce problème.