JVNVU#751808
Apple QuickTime に任意のコマンドが実行される脆弱性
緊急

Apple QuickTime には、任意のコマンドが実行される脆弱性が存在します。

• QuickTime 7.x およびそれ以前

iTunes など QuickTime を使用するソフトウェアも本脆弱性の影響を受ける可能性があります。

Apple QuickTime は、Windows や Apple OS X に対応したメディアプレーヤーです。また、Internet Explorer や Safari、Netscape 互換のブラウザ用プラグインも提供されています。

Web ページの作成者は、Web ページ内に QuickTime Movie を組み込む際に QuickTime link (.qtl) ファイルを用いてアプリケーションを起動する際のパラメータを指定することができます。指定できるパラーメータのひとつである qtnext は、読み込み再生するマルチメディアファイルの場所を指定するために使用されます。この qtnext パラメータを使用して任意のコマンドが実行される脆弱性が存在します。

既にこの脆弱性を使用した検証コードが公開されています。

ユーザが、細工された QuickTime ファイルを開いたり qtl ファイルを含む Web ページを閲覧することで、遠隔の第三者によって任意のコマンドを実行される可能性があります。

アップデートする
2007/10/04 対策方法が公開されました。

Apple の提供する最新バージョンへアップデートしてください。

また、以下の回避策を行なうことで想定される影響を軽減することができます。

ユーザの取れる対策
Firefox の機能拡張のひとつである NoScript を使用したり、信頼できない QuickTime ファイルや Web ページを閲覧しない。

Mozilla から、9月18日に Firefox 2.0.0.7 がリリースされました。Firefox を使用しているユーザはアップデートすることを推奨します。このバージョンでは、既存の攻撃手法への対策として、コマンドライン引数に指定されたスクリプトを実行しないように変更されています。

管理者が取れる対策
Proxy サーバや IPS で QuickTime ファイルをブロックする。