CERT Advisory CA-2008-19 (Technical Cyber Security Alert TA08-162C)
Apple QuickTime Updates for Multiple Vulnerabilities
ต้นฉบับ: http://www.us-cert.gov/cas/techalerts/TA08-162C.html
เรียบเรียงโดย: กฤดากร หิรัญพฤกษ์

ระบบที่ได้รับผลกระทบ

• Apple Mac OS X ที่รัน QuickTime เวอร์ชันต่ำกว่า 7.5
  
• Microsoft Windows ที่รัน QuickTime เวอร์ชันต่ำกว่า 7.5

กล่าวโดยทั่วไป

มีช่องโหว่ของ Apple QuickTime จำนวนหนึ่งโดยได้อธิบายรายละเอียดไว้ในบทความ ความรู้พื้นฐานของ Apple HT1991 ซึ่งการโจมตีโดยใช้ประโยชน์จากช่องโหว่เหล่านี้เปิดโอกาสให้ผู้บุกรุกสามารถรันคำสั่งบนระบบที่มีช่องโหว่จากระยะไกล หรือทำให้ระบบไม่สามารถใช้งานได้

I. คำอธิบาย

Apple QuickTime เวอร์ชันต่ำกว่า 7.5 พบช่องโหว่ที่เกี่ยวข้องกับการจัดการไฟล์รูปภาพและไฟล์มัลติมีเดีย ซึ่งผู้บุกรุกใช้ประโยชน์จากช่องโหว่เหล่านี้โดยการหลอกให้ผู้ใช้เข้าไปยังเว็บไซต์ที่มีไฟล์รูปภาพหรือไฟล์มัลติมีเดียที่ผู้บุกรุกสร้างขึ้นมาเป็นพิเศษ โดย Apple QuickTime 7.5 ได้แก้ไขปัญหาช่องโหว่ดังกล่าวแล้ว

โดยปกติ Apple iTunes ได้มีการติดตั้ง QuickTime มาด้วย ทำให้บนระบบที่ติดตั้ง iTunes นั้นอาจได้รับผลกระทบจากช่องโหว่นี้ด้วย

II. ผลกระทบ

ช่องโหว่ดังกล่าวเปิดโอกาสให้ผู้บุกรุกที่ไม่จำเป็นต้องทำการพิสูจน์ตัวตนสามารถรันคำสั่งบนระบบที่มีช่องโหว่ได้จากระยะไกล หรือทำให้ระบบไม่สามารถใช้งานได้ สำหรับข้อมูลเพิ่มเติมสามารถศึกษาได้จากบทความ ความรู้พื้นฐานของ Apple HT1991 ในส่วนข้อมูลความปลอดภัยของ QuickTime 7.5

III. วิธีแก้ไข

ติดตั้ง QuickTime เวอร์ชันใหม่

ทำการติดตั้ง QuickTime 7.5 โดยโปรแกรม QuickTime เวอร์ชันนี้และโปรแกรมซ่อมแซมช่องโหว่อื่นของ Mac OS X สามารถดาวน์โหลดได้จาก Apple Update

เสริมสร้างความปลอดภัยให้กับเว็บบราวเซอร์

เพื่อเป็นการลดความเสี่ยงจากการถูกโจมตีช่องโหว่นี้ผ่านทางเว็บบราวเซอร์ ผู้ใช้ควรตั้งค่าการใช้งานเว็บบราวเซอร์อย่างปลอดภัยซึ่งสามารถศึกษาได้จากเอกสาร Securing Your Web Browser

IV. เอกสารอ้างอิง

• About the security content of the QuickTime 7.5 Update - <http://support.apple.com/kb/HT1991>
• How to tell if Software Update for Windows is working correctly when no updates are available - <http://docs.info.apple.com/article.html?artnum=304263>
• Apple - QuickTime - Download - <http://www.apple.com/quicktime/download/>
• Mac OS X: Updating your software - <http://docs.info.apple.com/article.html?artnum=106704>
• Securing Your Web Browser - <http://www.us-cert.gov/reading_room/securing_browser/>
• US-CERT Vulnerability Notes for QuickTime 7.5 - <http://www.kb.cert.org/vuls/byid?searchview&query=apple_quicktime_7.5>
  

หากท่านพบเห็นข้อผิดพลาดหรือมีคำแนะนำ โปรดส่งข้อความของท่านมาที่ thaicert@nectec.or.th ท่านสามารถดาวน์โหลด PGP Public Key ของ ThaiCERT ได้ ในกรณีที่ต้องการเข้ารหัสอี-เมล์