Sicherheitsupdate schließt Quicktime-Lücke in MacOS X
Mit dem Update sollen Lücken in Quicktime für Java und im Quartz Composer geschlossen werden, die von Geoff Beier bei Apple gemeldet wurden. Auf ungepatchten Systemen soll es möglich sein, beim Besuch einer Website Quicktime dazu zu bewegen, Bilder zurück an die Webseite hochzuladen, ohne dass der Anwender dies bemerkt. Dazu muss auf der Seite ein präpariertes Java-Applet hinterlegt werden, das Zugriff auf eingebettete Quicktime-Objekte nimmt. Dazu muss Quicktime nur über eingebettete Quicktime-Objekte Bilder auf der Webseite darstellen.
In Verbindung mit dem Quartz Composer soll es möglich sein, von außen an "lokale Informationen" zu gelangen. So könnte es möglich sein, auch an die Daten der iSight-Webcam heranzukommen. Beispiele wie etwa dass das eigene Kamerabild via Quicktime auf eine fremde Webseite platziert wird, gibt es schon länger. Mit der Lücke wäre es also theoretisch möglich, das Kamerabild auch von einer Webseite aus abzufangen, ohne dass der Anwender dies wünscht. Apple nennt dieses Angriffszenario jedoch nicht explizit, so dass unklar bleibt, ob dies tatsächlich möglich ist.
Apple empfiehlt das Einspielen des Security Update 2006-008, das für MacOS X 10.4.8 sowohl für die Server-Version als auch den Client zum Download(öffnet im neuen Fenster) zur Verfügung steht. Das Update wird zudem bereits über die Software-Aktualisierung des Betriebssystems ausgeliefert. Betriebssystemversionen, die älter als MacOS X 10.4 sind, sind von der Lücke nicht betroffen. Ebenso ist Quicktime für Windows nicht anfällig für diese Lücke.