L’US-Cert recommande de désinstaller QuickTime sur tous les pc sous Windows
Une équipe de sécurité informatique du ministère américain de la sécurité intérieure (CERT) conseille de désinstaller le logiciel de lecture de fichiers audio et vidéo QuickTime des ordinateurs opérant sous Windows, afin d’éviter un risque de piratage.
Le CERT a publié une alerte après un article de la société de sécurité informatique Trend Micro indiquant qu’Apple, qui a développé ce logiciel, n’allait plus mettre à jour les défenses de QuickTime et que le programme présentait deux vulnérabilités ( ZDI-16-241 et ZDI-16-242) qui pourraient être exploitées par des pirates informatique.
[quote]’L’exploitation de vulnérabilités de QuickTime pour Windows pourrait permettre à des pirates de prendre le contrôle à distance des systèmes informatiques affectés’, indique l’alerte du CERT.
La seule solution pour réduire les risques disponible est de désinstaller QuickTime pour Windows.[/quote]
Voici quelques infos techniques:
Ces deux vulnérabilités permettent d’exécuter à distance un dépassement de tas.
Une de ces vulnérabilités permet à un assaillant d’injecter des données hors de la zone tampon de mémoire allouée.
L’autre est liée au stco atom:
En proposant un index non valide, un pirate peut injecter des données hors de la zone tampon de mémoire allouée.
Pour exploiter ces vulnérabilités, l’utilisateur doit soit avoir visité un site web malveillant ou ouvert un fichier malveillant, et ces deux vulnérabilités exécutent un code logiciel dans le contexte de sécurité de QuickTime player, qui est aussi, dans la plupart des cas, celui de l’utilisateur connecté.
Le conseil ne s’applique pas aux versions de QuickTime fonctionnant sur des ordinateurs Apple.
Trend Micro dit n’avoir connaissance d’aucune attaque ayant profité d’une vulnérabilité de QuickTime, mais estime également sur son site que la meilleure défense est de désinstaller QuickTime pour Windows aussi vite que possible.
Contacté par l’AFP, Apple n’a pas répondu dans l’immédiat.
QuickTime pour Windows rejoint ainsi ‘Microsoft Windows XP‘ et ‘Oracle Java 6’ au cimetière des logiciels dont les vulnérabilités ne sont plus restaurées.
Des logiciels qui sont soumis à des risques toujours plus importants compte tenu d’un nombre toujours plus important de vulnérabilités (non-patchées) à avoir été découvertes.
