LUK
26-11-2007, 18:16
Un fallo crítico en las versiones 7.2 y 7.3 de QuickTime - y puede que sus versiones previas - podría provocar la entrada de crackers en nuestras máquinas de forma remota, tal y como han avisado Symantec y el US-CERT.
La vulnerabilidad se encuentra en la gestión del protocolo RSTP (Real Time Streaming Protocol) que se incluye en QuickTime y que puede ser utilizada para que el atacante obligue a la víctima a visitar contenidos de streaming especialmente adaptados y nocivos a los que podría accederse mediante archivos adjuntos QTL al correo electrónico.
Un exploit que aprovechase esta técnica podría ser utilizado para instalar malware o incluso registrar el sistema en busca de contraseñas.
De hecho, el error es incluso más grave en Windows Vista por culpa de los desarrolladores de QuickTime, según afirmaron los expertos en seguridad que descubrieron esta vulnerabilidad. Esto se debe a que no usaron la característica Address Space Layout Randomization (ASLR) que está presente en Vista y que permite proteger en cierta medida el acceso a las zonas de memoria que utilizan los ejecutables .EXE y las librerías dinámicas DLL.
TheInquirer
La vulnerabilidad se encuentra en la gestión del protocolo RSTP (Real Time Streaming Protocol) que se incluye en QuickTime y que puede ser utilizada para que el atacante obligue a la víctima a visitar contenidos de streaming especialmente adaptados y nocivos a los que podría accederse mediante archivos adjuntos QTL al correo electrónico.
Un exploit que aprovechase esta técnica podría ser utilizado para instalar malware o incluso registrar el sistema en busca de contraseñas.
De hecho, el error es incluso más grave en Windows Vista por culpa de los desarrolladores de QuickTime, según afirmaron los expertos en seguridad que descubrieron esta vulnerabilidad. Esto se debe a que no usaron la característica Address Space Layout Randomization (ASLR) que está presente en Vista y que permite proteger en cierta medida el acceso a las zonas de memoria que utilizan los ejecutables .EXE y las librerías dinámicas DLL.
TheInquirer