Schwerwiegende Sicherheitslücke in Apples QuickTime

Angreifer können über QuickTime Programmcode in BMP-Bilder einbetten und starten

Für verschiedene Versionen von MacOS X hat Apple ein Sicherheits-Update veröffentlicht, das eine Reihe von Sicherheitslücken im Betriebssystem beheben soll. Darunter befindet sich eine schwere Sicherheitslücke in der MacOS-X-Version von QuickTime, worüber Angreifer bei der Anzeige von BMP-Bildern beliebigen Programmcode ausführen können.

Artikel veröffentlicht am 5. Oktober 2004, 10:06 Uhr, Ingo Pakalski

Ein Buffer Overflow in QuickTime für MacOS X gestattet es Angreifern, Programmcode in BMP-Bilder einzubinden, so dass dieser ausgeführt wird, sobald das Opfer das Bild mit einer nicht reparierten Version von QuickTime startet. In MacOS X 10.2.8 und 10.3.5 wird der Fehler mit dem bereitgestellten Update bereinigt.

Zwei weitere Sicherheitslecks stecken in der CUPS-Komponente von MacOS X 10.2.8 und 10.3.5, worüber Benutzerkennwörter ausgespäht oder das gesamte Drucksystem zum Absturz gebracht werden kann. Unter MacOS X 10.3.5 werden zudem zwei Sicherheitslecks im AFP-Server behoben. Ohne Patch kann ein Angreifer als Gast AFP-Laufwerke unerlaubt trennen oder die AFP-Drop-Box um Lese- und Schreibrechte erweitern.

Ein Fehler im ServerAdmin-Tool könnte das Belauschen von SSL-Verbindungen ermöglichen und betrifft die Server-Versionen von MacOS X 10.2.8 und 10.3.5. Schließlich wurde ein Fehler im NetInfoManager von MacOS X 10.3.5 beseitigt, der Probleme bei der Anmeldung machen konnte, sowie eine mögliche Unverträglichkeit mit Nutzernamen in Postfix von MacOS X 10.3.5 behoben.

Apple bietet das aktuelle Sicherheits-Update für MacOS X 10.2.8 und 10.3.5 in den Desktop- und Server-Varianten über die Aktualisierungsfunktion des Betriebssystems sowie als separaten Download an.