QuickTime sikkerhedsbrist kan ramme FireFox brugere
13/09 2007
Ved at kamuflere et download link til en mp3-fil, der skal åbnes i Apples QuickTime multimedieafspiller, kan man afvikle programmer på brugerens pc. Bristen blev rapporteret i september 2006 – men er endnu ikke rettet.
Hvis man benytter FireFox som ens standard browser, og har QuickTime installeret som multimedie plugin, så skal man passe på med ukritisk at afspille lyd og videoer fra ukendte websider. Sikkerhedshullet kan udnyttes selv med et fuldt opdateret Windows system og seneste version af FireFox og QuickTime.
Sikkerhedshullet blev først rapporteret i september 2006 af sikkerhedskonsulenten Petko D. Petkov, men er ét år senere stadig ikke lukket.
Den består i at udnytte QuickTime Media Link filer , som skrives i XML kode og typisk har ”.qtl” som efternavn. I sin grundform er disse filer opbygget således:
<?xml version="1.0">
<?quicktime type="application/x-quicktime-media-link"?>
<embed src="Sample.mov" autoplay="true"/>
Men ved at tilføje FireFoxs kommando "chrome" i Media Link filen, kan man direkte afvikle programmer på brugerens pc. Dermed er der også åbnet op for at udnytte hullet til mere destruktive handlinger. Hver for sig er hverken FireFox eller QuickTime farlige i sig selv – det er kombinationen af de to , der gør det muligt at udnytte sikkerhedshullet.
Da QuickTime samtidig kan afspille filer med de følgende efternavne: 3g2, 3gp, 3gp2, 3gpp, AMR, aac, adts, aif, aifc, aiff, amc, au, avi, bwf, caf, cdda, cel, flc, fli, gsm, m15, m1a, m1s, m1v, m2a, m4a, m4b, m4p, m4v, m75, mac, mov, mp2, mp3, mp4, mpa, mpeg, mpg, mpm, mpv, mqv, pct, pic, pict, png, pnt, pntg, qcp, qt, qti, qtif, rgb, rts, rtsp, sdp, sdv, sgi, snd, ulw, vfw, wav med flere – kan en hacker kamuflere sin kode i mange forskellige udformninger.
Virus112 har efterprøvet teknikken, og kan bekræfte, at det er muligt at afvikle programmer på brugerens pc. Med lidt snilde og snedighed vil en hacker kunne komme langt videre og nemt hente mere kritiske værktøjer ned.
Det forlyder, at Apple og Mozilla nu er i gang med at løse problemet. Indtil da vil man kunne installere FireFox add-on kaldet NoScript. Det giver FireFox en ekstra dimension af sikkerhed ved, at man kan forhindre JavaScript, Java og andet eksekverbart indhold i at blive afviklet - med mindre man selv ønsker det.
kilde: virus112.dk
|