CERT Advisory CA-2007-11 (Technical Cyber Security Alert TA07-065A)
Apple Releases Security Updates for QuickTime
ต้นฉบับ : http://www.us-cert.gov/cas/techalerts/TA07-065A.html
เรียบเรียงโดย : ณัฐพงษ์ แสงเลิศศิลปชัย

ระบบที่ได้รับผลกระทบ

โปรแกรม Apple QuickTime ที่ติดตั้งอยู่ภายใน

• Apple Mac OS X
• Microsoft Windows
  

กล่าวโดยทั่วไป

โปรแกรม Apple QuickTime ถูกตรวจสอบพบว่ามีหลายช่องโหว่ ซึ่งส่งผลให้ผู้บุกรุกสามารถสั่งรันโปรแกรมได้จากระยะไกล หรือทำให้ระบบไม่สามารถให้บริการได้

I. คำอธิบาย

โปรแกรม Apple QuickTime 7.1.5 ถูกสร้างขึ้นมาเพื่อแก้ไขช่องโหว่ต่างๆ ที่มีขอบเขตที่เกี่ยวข้องกับการจัดการไฟล์ประเภทรูปภาพ และมัลติมีเดีย ผู้บุกรุกสามารถใช้ประโยชน์จากช่องโหว่นี้โดยการหลอกล่อให้ผู้ใช้งานเข้าถึงรูปภาพหรือไฟล์ภาพเคลื่อนไหวที่ทำขึ้นมาเป็นพิเศษ และให้เปิดด้วยโปรแกรม QuickTime ที่มีช่องโหว่ นอกจากนี้ยังสามารถใช้ประโยชน์จากช่องโหว่ผ่านทางเว็บบราวเซอร์ได้จากการที่โปรแกรม QuickTime ถูกติดตั้งให้เป็นโปรแกรมเสริมการทำงานสำหรับการประมวลผลไฟล์ภาพหรือเสียง

หมายเหตุ : โปรแกรม QuickTime ถูกนำไปติดตั้งอยู่ภายใต้โปรแกรม Apple iTunes แล้ว

สำหรับข้อมูลเพิ่มเติม สามารถอ่านเพิ่มเติมได้จาก Vulnerability Notes

II. ผลกระทบ

ผู้บุกรุกสามารถ สั่งรันโปรแกรมจากระยะไกล โดยที่ไม่ต้องพิสูจน์ตัวตน และทำให้ระบบไม่สามารถให้บริการได้ สามารถศึกษาเพิ่มเติมได้จาก Vulnerability Note

III วิธีแก้ไข

ติดตั้งโปรแกรมปรับปรุงช่องโหว่

ปรับปรุงโปรแกรมเป็นเวอร์ชัน QuickTime 7.1.5 การปรับปรุงช่องโหว่นี้หรือช่องโหว่อื่นๆ สำหรับระบบปฏิบัติการ Mac OS X สามารถหาได้ที่ Apple Update

สำหรับโปรแกรม QuickTime ที่ทำงานบนระบบปฏิบัติการ Microsoft Windows ซึ่งมีกลไกการอัพเดตโดยอัตโนมัติอาจไม่ตรวจพบการอัพเดตในครั้งนี้ ดังนั้นผู้ใช้ Windows ควรตรวจสอบการอัพเดตที่ Apple Software Update หรือติดตั้งโปรแกรมปรับปรุงช่องโหว่ด้วยตัวเอง

ยกเลิกการใช้งานโปรแกรม QuickTime จากโปรแกรมเว็บบราวเซอร์

ผู้บุกรุกสามารถใช้ประโยชน์จากช่องโหว่นี้โดยการหลอกล่อให้ผู้ใช้งานเข้าถึงไฟล์ด้วยเว็บบราวเซอร์ การหยุดใช้งาน QuickTime บนเว็บบราวเซอร์จะช่วยป้องการการโจมตีจากช่องโหว่ประเภทนี้ได้ สามารถอ่านข้อมูลเพิ่มเติมวิธีการเพิ่มความปลอดภัยของเว็บบราวเซอร์ได้จากเอกสาร Securing Your Web Browser

Appendix A. References

• Vulnerability Notes for QuickTime 7.1.5 - <http://www.kb.cert.org/vuls/byid?searchview&query=QuickTime_715>
• About the security content of the QuickTime 7.1.5 Update - <http://docs.info.apple.com/article.html?artnum=305149>
• How to tell if Software Update for Windows is working correctly when no updates are available - <http://docs.info.apple.com/article.html?artnum=304263>
• Apple QuickTime 7.1.5 for Windows - <http://www.apple.com/support/downloads/quicktime715forwindows.html>
• Apple QuickTime 7.1.5 for Mac - <http://www.apple.com/support/downloads/quicktime715formac.html>
• Standalone Apple QuickTime Player - <http://www.apple.com/quicktime/download/standalone.html>
• Mac OS X: Updating your software - <http://docs.info.apple.com/article.html?artnum=106704>
• Securing Your Web Browser - <http://www.us-cert.gov/reading_room/securing_browser/>

หากท่านพบเห็นข้อผิดพลาดหรือมีคำแนะนำ โปรดส่งข้อความของท่านมาที่ thaicert@nectec.or.th ท่านสามารถดาวน์โหลด PGP Public Key ของ ThaiCERT ได้ ในกรณีที่ต้องการเข้ารหัสอี-เมล์