Trend Micro informa que Apple está retirando el apoyo a QuickTime para Microsoft Windows. La compañía no gestionará más las actualizaciones para el producto en Windows Platform y recomienda a los usuarios desinstalarlo. Es importante tener en cuenta que esto no se aplica a QuickTime en Mac OSX.
Mediante su iniciativa Zero Day (ZDI), Trend Micro ha lanzado dos avisos. ZDI-16-241 y ZDI-16-242, que explican dos nuevas vulnerabilidades críticas que afectan a QuickTime para Windows. Estos avisos están siendo comunicados de acuerdo con la Política de Divulgación de Iniciativa Zero Day para los casos en que un fabricante no emite un parche de seguridad para una vulnerabilidad descubierta. Y ya que Apple ha dejado de facilitar las actualizaciones de seguridad para QuickTime en Windows, estas vulnerabilidades nunca van a ser parcheadas.
Trend Micro apunta que no se tiene conocimiento de que se haya producido ningún ataque contra estas vulnerabilidades, que actualmente se encuentran activas. Pero la única manera de proteger inmediatamente los sistemas Windows de potenciales ataques contra estas u otras vulnerabilidades en Apple QuickTime es desinstalándolo. En este sentido, QuickTime para Windows ahora se une a Microsoft Windows XP y a Oracle Java 6 como software que ya no se está actualizando para corregir las vulnerabilidades y, por tanto, está expuesto cada vez a mayores riesgos a medida que se vayan encontrando más vulnerabilidades sin parchear que le afecten.
Apple ha publicado en su sitio web información detallada sobre cómo desinstalar Apple QuickTime para Windows.
En ambos casos se trata de vulnerabilidades de ejecución del código remoto con un cúmulo de daños. Una vulnerabilidad puede permitir que un atacante pueda escribir datos fuera del búfer de la memoria dinámica asignada. La otra vulnerabilidad se produce en el stco atom donde suministrando un índice no válido, un atacante puede escribir datos fuera del búfer de la memoria dinámica asignada. Ambas vulnerabilidades requerirían que el usuario visitara una página web maliciosa o que tenga que abrir un archivo malicioso para explotarlas. Y ambas vulnerabilidades podrían ejecutar código en el contexto de seguridad del reproductor QuickTime, que en la mayoría de los casos sería la del usuario registrado.
La situación anterior motivó a la autoridad de seguridad US-CERT, dependiente del ministerio del interior (Department of Homeland Security), a publicar una alerta donde coincide con lo señalado por Trend Micro, en el sentido que la única forma de protegerse contra las vulnerabilidades es desinstalando QuickTime para Windows.
