Mise à jour d’Apple Security pour Quicktime

Numéro : AV14-086
Date : Le 24 octobre 2014

Objet

La compagnie Apple a publié des mises à jour pour du logiciel QuickTime 7.7.6, fonctionnant sous Windows pour corriger quatre (4) vulnérabilités. L’exploitation réussie d’une de ces vulnérabilités mène à des dénis de service ou à l’exécution de code malicieux.

Évaluation

Les utilisateurs qui font jouer des fichiers de film conçus dans un but malveillant peuvent entraîner un arrêt imprévu de l’application ou l’exécution d’un code arbitraire en raison de problèmes de corruption de la mémoire dans le traitement des fichiers de film codé RLE et des atomes « mvhd ».

Les utilisateurs qui font jouer des fichiers MIDI ou m4a conçus dans un but malveillant peuvent entraîner un arrêt imprévu de l’application ou l’exécution d’un code arbitraire en raison de surcharges de la mémoire tampon dans le traitement de ces fichiers.

Dans tous les cas, le problème a été abordé à l’aide d’une vérification des limites améliorée.

Produits touchés : Windows 7, Vista, XP SP2

CVE de référence : CVE-2014-1391, CVE-2014-4979, CVE-4350.

Mesures Recommandées

Les utilisateurs qui font jouer des fichiers de film conçus dans un but malveillant peuvent entraîner un arrêt imprévu de l’application ou l’exécution d’un code arbitraire en raison de problèmes de corruption de la mémoire dans le traitement des fichiers de film codé RLE et des atomes « mvhd ».

Les utilisateurs qui font jouer des fichiers MIDI ou m4a conçus dans un but malveillant peuvent entraîner un arrêt imprévu de l’application ou l’exécution d’un code arbitraire en raison de surcharges de la mémoire tampon dans le traitement de ces fichiers.

Dans tous les cas, le problème a été abordé à l’aide d’une vérification des limites améliorée.

Produits touchés : Windows 7, Vista, XP SP2

CVE de référence : CVE-2014-1391, CVE-2014-4979, CVE-4350.

Signalement :

Nous encourageons les exploitants d'infrastructures essentielles canadiens et les gouvernements provinciaux, territoriaux et municipaux qui sont potentiellement touchés par cet avis de communiquer avec le CCRIC à l’adresse cyber incident@ps-sp.gc.ca.

Le CCRIC encourage ses partenaires à lui envoyer les logiciels et les échantillons potentiellement malfaisants à l’adresse malware@ccirc-ccric.gc.ca.

Remarque : Les fichiers et les courriels suspects doivent être compressés et protégés à l’aide du mot de passe « infected ».

Références :

Note aux lecteurs

En appui à la mission de Sécurité publique Canada de bâtir un Canada sécuritaire et résilient, le mandat du CCRIC est d'aider à assurer la sécurité et la résilience des cybersystèmes essentiels non gouvernementaux à la base de la sécurité nationale, de la sécurité publique et de la prospérité économique du pays. À titre d'équipe d'intervention en cas d'incident lié à la sécurité informatique du Canada, le CCRIC agit comme centre national de coordination pour la prévention, l'atténuation, l'intervention et le rétablissement liés aux incidents cybernétiques commis contre des systèmes non fédéraux. Pour ce faire, il formule des conseils éclairés, offre du soutien et coordonne l'échange de renseignements ainsi que l'intervention.

S'il vous plaît noter que la clé PGP du CCRIC a récemment été mise à jour.
http://www.securitepublique.gc.ca/cnt/ntnl-scrt/cbr-scrt/_fl/CCIRCPublicPGPKey.txt

Pour obtenir des renseignements de nature générale, veuillez communiquer avec la division des Affaires publiques de l'organisme :

Téléphone : 613-944-4875 ou 1-800-830-3118  
Télécopieur : 613-998-9589 
Courriel : ps.communications-communications.sp@canada.ca

Date de modification :