Ejecución de código vía Firefox y QuikTime plugin

Se ha reportado una vulnerabilidad multiplataforma del tipo Zero-day, que permite la ejecución de código malicioso a través de Firefox y el plugin para QuickTime.

La utilización del plugin para QuickTime en Firefox, permite la reproducción de videos y otros archivos multimedia.

QuickTime utiliza formatos de metadata (pequeños archivos que hacen referencia al verdadero archivo multimedia), para lograr acciones como la reproducción automática.

Estos formatos están escritos en XML y son almacenados como enlaces de contenidos de QuickTime con extensión .QTL.

Una vulnerabilidad en la implementación de este formato, permite utilizar Firefox para la ejecución arbitraria de código. Un atacante que explote esto con éxito, podría llegar a tomar el control total del sistema.

Se ha publicado una prueba de concepto que permite la ejecución de la calculadora de Windows, cuando se hace clic sobre un archivo XML con extensión .QTL.

Tenga en cuenta que para engañar al usuario, dicho código puede insertarse en cualquier otro formato de archivo soportado por QuickTime, por ejemplo 3g2, 3gp, 3gp2, 3gpp, AMR, aac, adts, aif, aifc, aiff, amc, au, avi, bwf, caf, cdda, cel, flc, fli, gsm, m15, m1a, m1s, m1v, m2a, m4a, m4b, m4p, m4v, m75, mac, mov, mp2, mp3, mp4, mpa, mpeg, mpg, mpm, mpv, mqv, pct, pic, pict, png, pnt, pntg, qcp, qt, qti, qtif, rgb, rts, rtsp, sdp, sdv, sgi, snd, ulw, vfw, wav.

No existen parches ni actualizaciones para este problema.


Más información:

0DAY: QuickTime pwns Firefox
http://www.gnucitizen.org/blog/0day-quicktime-pwns-firefox

0DAY: QuickTime pwns Firefox
http://www.securityfocus.com/archive/1/479179/30/0/threaded

FUENTE:vsantivirus