Het beveiligingsprobleem werd ontdekt door de Italiaanse onderzoeker Luigi Auriemma, meldt Secunia. Volgens de onderzoeker gaat het om een zeer kwalijk probleem waarmee kwaadwillenden het besturingssysteem lam kunnen leggen.

QuickTime is kwetsbaar door een buffer overflow waardoor op afstand een aanvaller een denial-of-service conditie kan veroorzaken en mogelijk twijfelachtige code kan uitvoeren. Omdat iTunes gebruik maakt van QuickTime loopt het mediaprogramma ook gevaar.

Streaming media

De manier waarop het Real Time Streaming Protocol (RTSP) antwoord berichten afhandelt veroorzaakt de buffer overflow, meldt het United States Computer Emergency Readiness Team (US_CERT). RTSP is het protocol dat gebruikt wordt door streaming media systemen. QuickTime player en Apple QuickTime streaming server ondersteunen dit protocol.

De aanvaller kan het systeem plat leggen door een gebruiker te overtuigen op een aangepaste RTSP stream te klikken. Verschillende soorten online media -zoals QuickTime files- kunnen daarvoor in aanmerking komen.

Oplossing

US-CERT en Secunia hebben geen directe oplossing voor het probleem. Beide adviseren geen onbetrouwbare websites en links te openen en uit te kijken met .QTL bestanden. Om het gevaar zo klein mogelijk te maken adviseert US-CERT QuickTime te verwijderen. Door het deinstalleren van QuickTime zullen programma's zoals iTunes niet goed meer werken.

Het is ook mogelijk het rtsp://protocol te blokkeren door proxy- of firewall instellingen aan te passen. US-CERT adviseert om de uitgaande 554/tcp en 6970-6999/udp verbindingen te blokkeren. Het blokkeren van een enkele poort zou niet toereikend zijn omdat RTSP gebruik maakt van verschillende poorten. Het RTSP-protocol kan ook geblokkeerd worden met proxy-servers of een firewall.

US-CERT heeft nog meer tips om problemen te voorkomen waaronder het uitschakelen van de QuickTime plugin in de browser.

Het lek werd ontdekt in QuickTime 7.3.1.70. Andere versies zijn mogelijk ook kwetsbaar.

Eerdere problemen

Het programma lag vorig jaar ook al meerdere malen onder vuur. Een jaar geleden had het programma te maken met een vergelijkbaar buffer overflow probleem. In december 2007 misbruikten hackers een kwetsbaarheid om slachtoffers naar een kwaadaardige site te leiden.