Sicherheitslücken in Apples iTunes und Quicktime [Update]
Durch die von eEye gemeldeten Fehler könnten Eindringlinge Kontrolle über den betreffenden Rechner bekommen; betroffen seien verschiedene iTunes- und Quicktime-Versionen.
Der Sicherheitsdienstleister eEye meldet Sicherheitslücken in Apples Mediasoftware iTunes und in Quicktime. Durch den als schwerwiegend eingestuften Fehler sei es für Angreifer möglich, Code einzuschleusen und im Kontext des angemeldeten Anwenders auf den betroffenen Rechnern auszuführen, heißt es. Das Problem betreffe "verschiedene Versionen" von iTunes und Quicktime und alle Betriebssysteme. Apple hatte erst kürzlich ein Update für iTunes für Windows XP und 2000 vorgelegt, mit dem vermieden werden soll, dass falsche Hilfsdateien ausgeführt werden können. Anfang November schloss Apple Sicherheitslücken in Quicktime.
Nähere Angaben zur Art der neuen Fehler und zu technischen Details der Lücken macht eEye derzeit noch nicht, hat Apple aber von den Problemen informiert. eEye verfolgt mit seinen Security-Advisories eine Politik des so genannten "responsible disclosure". Nach der Entdeckung einer Sicherheitslücke alarmiert eEye den Hersteller und erwartet, dass die Lücke innert 60 Tage gestopft wird. Passiert dies nicht, wird dies als Versäumnis betrachtet und ein Patch für das Leck als "overdue" angesehen. Ein detailliertes Advisory, das genaue Informationen zur Art der Sicherheitslücke liefert und damit auch Angreifern beim Ausnutzen des Lecks helfen könnte, liefert die Firma erst, wenn ein Patch vorliegt. eEye bietet eine Übersicht über diese so genannten "Upcoming Advisories" auch als Information darüber, welche Software gerade von einer nicht geschlossenen Lücke bedroht ist und welche Hersteller mit ihren Patches wie lange überfällig sind.
[Update]:
Mittlerweile hat eEye seine Advisories aktualisiert und spricht nur noch davon, dass alle "Windows-Systeme" beziehungsweise alle "Microsoft-Betriebssysteme" von den neu entdeckten Lücken in Quicktime und iTunes betroffen seien.
Siehe dazu auch: (anw)
- Upcoming Advisories von eEye Digital Security
- EEYEB-20051117a, Upcoming Advisory zu Sicherheitslücke in Quicktime
- EEYEB-20051117b, Upcoming Advisory zu Sicherheitslücke in iTunes
