S . G . D . S . N Agence nationale de la sécurité des systèmes d'information

Paris, le 04 avril 2003 No CERTA-2003-AVI-071

Affaire suivie par :

CERTA

Objet : Vulnérabilité de Quicktime Player sous Windows

Gestion du document

Une gestion de version détaillée se trouve à la fin de ce document.

1 Risque

Exécution de code arbitraire à distance.

2 Systèmes affectés

Quicktime Player versions 5.x et version 6.0 pour Windows.

3 Résumé

Un débordement de mémoire dans Quicktime Player permet d'exécuter du code arbitraire à distance.

4 Description

Quicktime Player est un lecteur de vidéo.

Un débordement de mémoire a été découvert dans le processus de traitement d'un lien hypertexte. Un lien hypertexte pour Quicktime Player est de la forme quicktime:// et invoque la commande QuickTimePlayer.exe -u.

Un utilisateur mal intentionné peut inciter une victime (par le biais d'un message électronique par exemple) à suivre un lien habilement constitué afin d'exécuter du code arbitraire à distance sur sa machine.

5 Solution

Installer la version 6.1 de Quicktime Player :

http://www.apple.com/swupdates

6 Documentation

Mise à jour de sécurité d'Apple :

http://docs.info.apple.com/article.html?artnum=61798

Référence CVE CAN-2003-0168 :

http://cve.mitre.org/cgi-bin/cvename.cgi?name=CAN-2003-0168

Gestion détaillée du document

04 avril 2003

version initiale.