Alert GCSA-07116 - Vulnerabilita' in Apple QuickTime

-----BEGIN PGP SIGNED MESSAGE-----
Hash: SHA1

************************************************************************

     Alert ID : GCSA-07116
         Data : 27 Novembre 2007
       Titolo : Vulnerabilita' in Apple QuickTime

************************************************************************

:: Descrizione del problema

    E' stata scoperta in Apple QuickTime una vulnerabilita' di tipo
    buffer overflow dovuta al modo in cui sono gestite le risposte RTSP
    con header eccessivamente lungo.

    La vulnerabilita' puo' essere sfruttata da un attaccante inducendo
    un utente a connettersi ad un flusso RTSP appositamente predisposto.

    E' da notare che QuickTime e' un componente di Apple iTunes e dunque
    anche quest'ultimo risulta affetto dalla vulnerabilita'.


:: Piattaforme e Software interessati

     Apple QuickTime versione 7.3
     (un numero limitato di test ha dimostrato che la vulnerabilita' e'
     presente anche nelle versioni precedenti a partire dalla 4.0)
     su tutte le piattaforme MAC OS e Windows supportate.


:: Impatto

      System access
      esecuzione di codice arbitrario


:: Soluzione

    Non e' ancora stata distribuita una soluzione ufficiale ma sono
    disponibili dei suggerimenti per impedire lo sfruttamento
    della vulnerabilita' all'indirizzo

    http://www.kb.cert.org/vuls/id/659761


:: Riferimenti

Apple QuickTime streaming
    http://www.apple.com/quicktime/technologies/streaming/

Secunia
    http://secunia.com/advisories/27755/

FrSIRT
    http://www.frsirt.com/english/advisories/2007/3984

US-CERT
    http://www.kb.cert.org/vuls/id/659761

Security Focus BID
    http://www.securityfocus.com/bid/26549


-----BEGIN PGP SIGNATURE-----

iQCVAwUBR0xNh/OB+SpikaiRAQIw5AP+IMI5+HsPywM/XCYK1RkQ/Z0GeLb57cjC
uKmzG7YMqhc95D/oGgz5yQA0zD1JDkRDrB0aqTg9gwzLHXKSu+gQT5nrwggNs47J
9jfKNQ5NuH3TP8tfxOvUeaNnssi7nIGc95GZEcUizkZ/vuIFozTw72RjwA3iQ++X
r/rwNEK6Wk0=
=8w0R
-----END PGP SIGNATURE-----