Løsning Av Alle Windows-Problemer Og Andre Programmer

Apple oppdaterer måneder gamle QuickTime-feil

Apple la opp et kritisk sårbarhet i QuickTime onsdag som ble rapportert til selskapet av et bug -dusørprogram for måneder siden.

Oppdateringen la også opp et 'DLL load hijacking' problem som ble offentliggjort i august.



QuickTime 7.6.8 -oppdateringen er bare for Windows, og løser et par feil i mediespilleren. Av de to er den mest bemerkelsesverdige oppdateringen for QuickTime-plugin-modulen som brukes av Microsofts Internet Explorer.



30. august publiserte den spanske forskeren Ruben Santamarta informasjon om en feil som hackere kan bruke til å kapre Windows XP, Vista eller Windows 7 -maskiner som kjører IE med QuickTime ActiveX -kontrollen på plass.

Sårbarheten var Apples skyld, sa Santamarta, fordi selskapets utviklere hadde forsømt å rydde opp i gammel kode og etterlot en åpning for angripere.



Han la også ut angrepskode på Internett som gikk forbi to viktige forsvarsteknologier Microsoft har lagt til i Windows. Disse beskyttelsene, kalt ASLR (randomisering av adresseromoppsett) og DEP (forebygging av datautførelse), er designet for å gjøre det mye vanskeligere for hackere å trekke ut angrep, og hvis de klarer å angripe en PC med suksess, kan du isolere skadelig programvare fra resten av maskinen.

Dagen etter at Santamarta avdekket funnene sine, kunngjorde HPs TippingPoint at den hadde rapportert den samme feilen til Apple 30. juni, to måneder tidligere.

Aaron Portnoy, som leder TippingPoints Zero Day Initiative (ZDI) bug bounty -program, brukte QuickTime -eksemplet for å igjen oppfordre leverandører til å lappe raskere og sa at det nå er vanlig at feil blir funnet uavhengig av flere forskere, inkludert kriminelle som leter etter nye bedrifter.



I august endret ZDI sin informasjonspolicy for å gi selskaper seks måneder til å lappe før den ga ut informasjon. ZDIs tidligere retningslinjer var å holde tilbake all informasjon til en oppdatering var sendt.

Windows 7 microsoft security essentials

På den tiden kritiserte Portnoy Apple for ikke å fikse QuickTime -feilen før Santamarta ble offentliggjort. 'Vi ga dette til Apple for to måneder siden, og en løsning krever ingen testing,' sa Portnoy i begynnelsen av september. 'Jeg kunne ha løst dette helt i løpet av et døgn.'

Apple krediterte en forsker identifisert som 'HBelite' for å rapportere feilen til ZDI, som videresendte den til Apple.

Det andre sikkerhetsproblemet som ble reparert i QuickTime 7.6.8 var en feil ved kapring av DLL -last i programvarens Picture Viewer.

Selv om det ikke var nytt, kapret DLL -lastekapring seg i forrige måned da HD Moore, sikkerhetssjefen i Rapid7, kunngjorde at dusinvis av Windows -programmer var feil fordi de kalte kodebiblioteker -kalt 'dynamiske lenkebiblioteker' eller 'DLLer' - - bruker bare et filnavn i stedet for et fullt banenavn.

Feilen ga hackere en måte å kommandere en PC ved å lure programmet til å laste inn en ondsinnet fil med samme navn som nødvendig DLL.

Andre forskere anslår senere at mer enn 200 forskjellige programmer kan utnyttes, inkludert de fleste nettlesere, flere Microsoft -applikasjoner og Apples QuickTime.

dataproblemer hos United Airlines i dag

Bare noen få leverandører har lappet produktene sine for å oppheve DLL -kapringfeilen, inkludert Mozilla og Apple, som forrige uke oppdaterte Firefox og Safari.

QuickTime 7.6.8 kan lastes ned fra Apples nettsted for Windows XP, Windows Vista og Windows 7. Windows -brukere som allerede kjører QuickTime, blir varslet om oppdateringen av Apple Software Update -verktøyet.

Gregg Keizer dekker Microsoft, sikkerhetsspørsmål, Apple, nettlesere og generelle teknologiske nyheter for Computerworld . Følg Gregg på Twitter kl @gkeizer eller abonnere på Greggs RSS -feed. E-postadressen hans er gkeizer@ix.netcom.com .