Apple QuickTime 7.1.6 fue publicado hace apenas unas semanas (ver “Vulnerabilidad en QuickTime mediante Java”, http://www.vsantivirus.com/vul-quicktime-230407.htm), pero ahora Apple anuncia una actualización de seguridad para dicha versión.

Una de las vulnerabilidades corregidas en esta actualización, está relacionada con un problema en la implementación para Java de QuickTime, que puede permitir la ejecución de código de forma arbitraria, por el simple acto de visitar una página Web maliciosa. El problema se debe a una incorrecta validación de applets.

La segunda vulnerabilidad permite que la simple visita a un sitio Web malicioso, permita la revelación de información confidencial sin el conocimiento del usuario.

El problema se debe a un error de diseño que permite a un applet de Java leer la memoria utilizada por el navegador.

Se recomienda a los usuarios que utilizan Apple QuickTime como reproductor multimedia, que se actualicen a la brevedad posible a la versión 7.1.6 si es que todavía no lo han hecho, y luego descarguen la actualización correspondiente a dicha versión desde los siguientes enlaces (estas actualizaciones soportan todos los idiomas, español incluido):

Security Update (QuickTime 7.1.6 for Windows)
http://www.apple.com/support/downloads/securityupdatequicktime716forwindows.html

Security Update (QuickTime 7.1.6 for Mac)
http://www.apple.com/support/downloads/securityupdatequicktime716formac.html

Productos vulnerables:

- Apple QuickTime Player 7.1.6

Descarga versión 7.1.6:

Windows 2000 o XP
http://www.apple.com/quicktime/download/win.html

Mac OS X v10.3.9 o posterior
http://www.apple.com/quicktime/download/mac.html

Más información:

Acerca de la actualización de seguridad (QuickTime 7.1.6)
http://docs.info.apple.com/article.html?artnum=305531-es

Referencias CVE:

Las vulnerabilidades corregidas están relacionadas con las siguientes referencias CVE:

CVE-2007-2388
www.cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2007-2388

CVE-2007-2389
www.cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2007-2389

CVE (Common Vulnerabilities and Exposures), es la lista de nombres estandarizados para vulnerabilidades y otras exposiciones de seguridad que han tomado estado público, la cuál es operada por cve.mitre.org, corporación patrocinada por el gobierno norteamericano.

FUENTE