JVNDB-2007-000686
|
Apple QuickTime に任意のコマンドが実行される脆弱性
|
|
Apple QuickTime には、任意のコマンドが実行される脆弱性が存在します。
Apple QuickTime は、Windows や Apple OS X に対応したメディアプレーヤーです。また、Internet Explorer や Safari、Netscape 互換のブラウザ用プラグインも提供されています。
Web ページの作成者は、Web ページ内に QuickTime Movie を組み込む際に QuickTime link (.qtl) ファイルを用いてアプリケーションを起動する際のパラメータを指定することができます。指定できるパラーメータのひとつである qtnext は、読み込み再生するマルチメディアファイルの場所を指定するために使用されます。この qtnext パラメータを使用して任意のコマンドが実行される脆弱性が存在します。
既にこの脆弱性を使用した検証コードが公開されています。
|
|
CVSS v2 による深刻度
基本値: 5.0 (警告) [NVD値]
- 攻撃元区分: ネットワーク
- 攻撃条件の複雑さ: 低
- 攻撃前の認証要否: 不要
- 機密性への影響(C): なし
- 完全性への影響(I): 部分的
- 可用性への影響(A): なし
|
|
|
Mozilla Foundation
- Mozilla Firefox 2.0.0.6 およびそれ以前
- Mozilla SeaMonkey
アップル
|
|
|
ユーザが、細工された QuickTime ファイルを開いたり qtl ファイルを含む Web ページを閲覧することで、遠隔の第三者によって任意のコマンドを実行される可能性があります。
|
|
<アップデートする>
2007/10/04 対策方法が公開されました。 Apple の提供する最新バージョンへアップデートしてください。
また、以下の回避策を行なうことで想定される影響を軽減することができます。
<ユーザの取れる対策>
Firefox の機能拡張のひとつである NoScript を使用したり、信頼できない QuickTime ファイルや Web ページを閲覧しない。
Mozilla から、9月18日に Firefox 2.0.0.7 がリリースされました。Firefox を使用しているユーザはアップデートすることを推奨します。このバージョンでは、既存の攻撃手法への対策として、コマンドライン引数に指定されたスクリプトを実行しないように変更されています。
<管理者が取れる対策>
Proxy サーバや IPS で QuickTime ファイルをブロックする。
|
|
Mozilla Foundation
アップル
|
|
- OSコマンドインジェクション(CWE-78) [NVD評価]
- コード・インジェクション(CWE-94) [NVD評価]
|
|
- CVE-2007-4673
- CVE-2006-4965
|
|
- JVN : JVNVU#751808
- National Vulnerability Database (NVD) : CVE-2007-4673
- National Vulnerability Database (NVD) : CVE-2006-4965
- 警察庁 @police : QuickTime の脆弱性について
- US-CERT Vulnerability Note : VU#751808
- Secunia Advisory : SA22048
- SecurityFocus : 20138
- SecurityTracker : 1018687
- FrSIRT Advisories : FrSIRT/ADV-2007-3155
|
|
- [2007年09月25日]
掲載
[2007年10月17日]
対策：対策方法の記述を更新しました。
ベンダ情報: アップルの情報を追加しました。
・Security Update for QuickTime 7.2 for Windows
・QuickTime 7.2 for Windows
|
