Een nieuw ontdekt beveiligingslek in Apple's QuickTime waar nog geen patch voor is geeft aanvallers toegang tot Windows XP en Vista systemen waarop de software is geïnstalleerd. De proof of concept code voor de kwetsbaarheid werd vrijdag door de Poolse beveiligingsonderzoeker Krystian Kloskowski op het internet gepubliceerd, een dag later verschenen er twee exploits, die een aanvaller willekeurige code op het kwetsbare systeem laten uitvoeren. De QuickTime browser plugin zou niet kwetsbaar zijn, hoewel de browser wel door het openen van een kwaadaardige RTSP stream crasht.

Door een foutje van Apple lopen ook Vista gebruikers gevaar. Dankzij de Address Space Layout Randomization feature is het voor aanvallers moeilijk te voorspellen waar in het geheugen bepaalde bestanden zich bevinden. Apple heeft de feature niet voor QuickTime ingesteld, wat misbruik een stuk eenvoudiger maakt.

Symantec voorspelt twee mogelijke aanvalsvectoren, een via e-mail, de ander via de browser. In het geval van een e-mail-aanval ontvangt de gebruiker een bijlage met een bestand dat normaal door QuickTime wordt geopend, zoals .mov, .qt of qtl. De bijlage is echter geen mediabestand, maar een XML bestand dat de speler een RTSP verbinding via poort 554 naar de kwaadaardige server laat maken die de exploit host. De QuickTime speler ontvangt de geprepareerde RTSP respons, die een buffer overflow veroorzaakt waarna de shellcode van aanvaller wordt uitgevoerd.

Bij het browser-scenario bezoekt de gebruiker een website waar een QuickTime streaming object geembed is. Het object maakt verbinding met de kwaadaardige server en stuurt zo de exploit door naar de QuickTime speler.

Firefox gebruikers kwetsbaar
Hoewel Internet Explorer gebruikers ook risico lopen, zijn het met name Firefox gebruikers die moeten opletten. Mozilla's browser stuurt de requests, als een extern proces, meteen door naar de QuickTime speler. Hierdoor werken de huidige exploits probleemloos bij Firefox gebruikers die QuickTime als standaard mediaspeler hebben ingesteld. Toch verwachten onderzoekers dat in de komende dagen ook de exploits ook voor Internet Explorer worden verfijnd.

Aangezien er nog geen patch is, wordt gebruikers aangeraden om uitgaande verbindingen via TCP 554 te blokkeren.