Backdoor w QuickTimie

Ekspert od zabezpieczeń Ruben Santamarta odkrył nieudokumentowany parametr we wtyczce ActiveX programu QuickTime, który potencjalny napastnik może wykorzystać do przemycenia szkodliwego kodu.

Zagrożenie

Aby atak był skuteczny, ofiara musi tylko odwiedzić odpowiednio spreparowaną stronę WWW.

Problem

Za pomocą parametru MarshaledpUnk napastnik przekazuje do wtyczki specjalny wskaźnik obiektu, co sprawia, że QuickTime sięga do funkcji w obcych bibliotekach DLL. Przygotowany przez Santamartę exploit jest w stanie ominąć blokadę wykonywania kodu danych (DEP) oraz mechanizm losowego rozkładu przestrzeni adresowej (ASLR) w systemach Windows 7 i Vista. Parametr MarshaledpUnk to pozostałość po funkcji, którą Santamarta odkrył ostatnio w jednej z wersji QuickTime'a z 200. roku. Apple usunął tę funkcję w późniejszych wydaniach, ale najwyraźniej przeoczył należący do niej składnik. Jako że parametr ten został niegdyś świadomie włączony do pakietu i nie jest efektem błędu programistycznego, to według oceny Santamarty mamy tu do czynienia z backdoorem w ścisłym tego słowa znaczeniu. Podatne na ataki są wersje 7.x, 6.x programu QuickTime, a niewykluczone, że i starsze edycje w połączeniu z Windows XP do 7.

Rozwiązanie

Nie istnieje jeszcze rozwiązanie problemu.

Obejście i ochrona

Jedyną metodą ochrony jest zastosowanie obejścia. Polega ono na zablokowaniu wykonywania kontrolki ActiveX, np. przez wyłączenie wtyczki w oknie zarządzania dodatkami Internet Explorera, ustawienie killbitu albo zmianę używanej przeglądarki.

wydanie internetowe www.heise-online.pl