Alert GCSA-07010 - Vulnerabilita' in Apple QuickTime (Security Update

-----BEGIN PGP SIGNED MESSAGE-----
Hash: SHA1


******************************************************************

            Alert ID : GCSA-07010
                Data : 25 Gennaio 2007
              Titolo : Vulnerabilita' in Apple QuickTime (Security Update 
2007-001)

******************************************************************


:: Descrizione del problema:

   E' stata identificata una vulnerabilita' in Apple QuickTime la quale
   puo' essere sfruttata da un attaccante remoto per prendere il pieno
   controllo di un sistema che ne sia affetto.

   La vulnerabilita' e' causata da una condizione di buffer overflow che
   si verifica durante la gestione di URL di tipo Real Time Streaming
   Protocol (RTSP) appositamente predisposte.

   Per sfruttare la vulnerabilita' un'attaccante deve sfruttare la
   collaborazione dell'utente e possibili vettori di attacco sono
   rappresentati da:

      * una pagina web che richiede l'impiego del plug-in QuickTime
      * una pagina web che fa uso del protocollo rtsp://
      * un file associato all'esecuzione di QuickTime Player


:: Software interessati:

    Apple QuickTime 7.1.3 e precedenti, su piattaforme:

      * Apple Mac OS X
      * Microsoft Windows

    Sono affetti dalla vulnerabilita' in oggetto anche tutti gli altri
    software, come Apple iTunes, che fanno impiego di componenti
    vulnerabili di QuickTime.


:: Impatto:

   Esecuzione di codice arbitrario in modalita' remota


:: Soluzioni:

   La Apple ha reso disponibile un aggiornamento di sicurezza (Security
   Update 2007-001).

   Gli utenti di Apple Mac OS X possono installare Apple Security Update
   2007-001 attraverso il sistema Software Update.

   Gli utenti di Microsoft Windows con versione QuickTime 7.1.3 possono
   installare Apple Security Update 2007-001 attraverso il sistema Apple
   Software Update. Gli utenti delle precedenti versioni di QuickTime
   devono aggiornare alla versione QuickTime 7.1.3 prima di poter
   installare il sistema di Software Update.

   Per altre informazioni attenersi a quanto riportato all'indirizzo
   http://docs.info.apple.com/article.html?artnum=304989


:: Riferimenti:

US-CERT Vulnerability Note VU#442497
   http://www.kb.cert.org/vuls/id/442497

US-CERT Technical Cyber Security Alert TA07-005A
   http://www.us-cert.gov/cas/techalerts/TA07-005A.html

Security Update 2007-001 (Universal)
   http://www.apple.com/support/downloads/securityupdate2007001universal.html

Security Update 2007-001 (Panther)
   http://www.apple.com/support/downloads/securityupdate2007001panther.html

About Security Update 2007-001
   http://docs.info.apple.com/article.html?artnum=304989

Mac OS X: Updating your software
   http://docs.info.apple.com/article.html?artnum=106704

How to repair Software Update for Windows -
   http://docs.info.apple.com/article.html?artnum=304264>

Apple - QuickTime - Download
   http://www.apple.com/quicktime/download/win.html

the Month of Apple Bugs
   http://projects.info-pull.com/moab/MOAB-01-01-2007.html

FrSIRT - ADV-2007-0001
   http://www.frsirt.com/english/advisories/2007/0001

Secunia
   http://secunia.com/advisories/23540/

CVE Mitre:
   http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2007-0015


-----BEGIN PGP SIGNATURE-----

iQCVAwUBRbik6vOB+SpikaiRAQLIlwQArOqZ8T7OT6pAZxNTqoW/+y4ecXXSF0jA
KLXqwMQwlD66mPClWa/+NKmykO0lKVe/hdDRUGBl3NoOvjkuWfPay1wAdBLmTSCu
YTLz9oAGVCfF6y9XZr7LC6n+uEVUXx8Cr3lxjwK/cZuuunqQhOm1e7jLdOpfEmgr
9DkxRPwatK0=
=u5/P
-----END PGP SIGNATURE-----