公開日:2007/09/14 最終更新日:2007/10/05

JVNVU#751808
Apple QuickTime に任意のコマンドが実行される脆弱性
緊急

概要

Apple QuickTime には、任意のコマンドが実行される脆弱性が存在します。

影響を受けるシステム

  • QuickTime 7.x およびそれ以前

iTunes など QuickTime を使用するソフトウェアも本脆弱性の影響を受ける可能性があります。

詳細情報

Apple QuickTime は、Windows や Apple OS X に対応したメディアプレーヤーです。また、Internet Explorer や Safari、Netscape 互換のブラウザ用プラグインも提供されています。

Web ページの作成者は、Web ページ内に QuickTime Movie を組み込む際に QuickTime link (.qtl) ファイルを用いてアプリケーションを起動する際のパラメータを指定することができます。指定できるパラーメータのひとつである qtnext は、読み込み再生するマルチメディアファイルの場所を指定するために使用されます。この qtnext パラメータを使用して任意のコマンドが実行される脆弱性が存在します。

既にこの脆弱性を使用した検証コードが公開されています。

想定される影響

ユーザが、細工された QuickTime ファイルを開いたり qtl ファイルを含む Web ページを閲覧することで、遠隔の第三者によって任意のコマンドを実行される可能性があります。

対策方法

アップデートする
2007/10/04 対策方法が公開されました。

Apple の提供する最新バージョンへアップデートしてください。

また、以下の回避策を行なうことで想定される影響を軽減することができます。

ユーザの取れる対策
Firefox の機能拡張のひとつである NoScript を使用したり、信頼できない QuickTime ファイルや Web ページを閲覧しない。

Mozilla から、9月18日に Firefox 2.0.0.7 がリリースされました。Firefox を使用しているユーザはアップデートすることを推奨します。このバージョンでは、既存の攻撃手法への対策として、コマンドライン引数に指定されたスクリプトを実行しないように変更されています。

管理者が取れる対策
Proxy サーバや IPS で QuickTime ファイルをブロックする。

参考情報

  1. US-CERT Vulnerability Note VU#751808
    Apple QuickTime remote command execution vulnerability

JPCERT/CCからの補足情報

JPCERT/CCによる脆弱性分析結果

2007.09.14における脆弱性分析結果  緊急

評価尺度 攻撃成立条件 評価値
攻撃経路 インターネット経由からの攻撃が可能
認証レベル 匿名もしくは認証なしで攻撃が可能
攻撃成立に必要なユーザーの関与 リンクをクリックしたり、ファイルを閲覧するなどのユーザ動作で攻撃される
攻撃の難易度 専門知識や運がなくとも攻撃可能

各項目の詳しい説明

謝辞

関連文書

JPCERT 緊急報告
JPCERT REPORT
CERT Advisory
CPNI Advisory
TRnotes
CVE CVE-2006-4965
CVE-2007-4673
JVN iPedia

更新履歴

2007/09/21
対策方法に Mozilla Firefox の最新版へのバージョンアップを追記しました。
2007/09/21
対策方法に Mozilla Firefox の最新版へのバージョンアップを追記しました。
2007/09/21
対策方法に Mozilla Firefox の最新版へのバージョンアップ、ベンダ情報に Mozilla Japan へのリンクを追記しました。
2007/10/05
対策方法およびベンダ情報を更新し、CVE を追加しました。
2007/10/05
対策方法およびベンダ情報を更新し、CVE を追加しました。
2007/10/05
対策方法およびベンダ情報を更新し、CVE を追加しました。
2007/10/05
対策方法およびベンダ情報を更新し、CVE を追加しました。