QuickTime和Flash Player的安全威胁

苹果公司和Adobe公司周二警告，攻击者可以利用QuickTime和Flash Player中的严重安全漏洞在电脑上执行恶意代码。但是他们已经将这些流行的多媒体应用程序升级以修复该漏洞。

苹果公司在简报中说，QuickTime 7.1.3之前的版本存在有由于该程序不能正确进行边界检查和清除用户提供的数据引起的多种漏洞。

具体的问题包括：

恶意H.264电影文件可能引起的整数或缓冲区溢出。

恶意QuickTime电影文件可能引起的整数或缓冲区溢出。

恶意FLC电影文件可能引起的基于堆的缓冲区溢出。（该问题影响FLIC格式文件的"COLOR64"文件块）

恶意FlashPix文件可能引起的整数或缓冲区溢出。

处理恶意FlashPix文件时可能发生意外导致留存未初始化的对象。

恶意SGI图像文件可能引起的缓冲区溢出。

苹果公司在其简报中说："在受害用户运行这些有缺陷的软件时，攻击者可以利用这些问题执行任意代码。对这些漏洞成功的利用可以使对于问题电脑的远程入侵更加容易。"

这一威胁十分严重的原因之一是对于FLC文件导致的基于堆的缓冲区溢出漏洞已经存在被理论上证实的利用代码，这是加州赛门铁克公司Cupertino发往其DeepSight威胁管理服务用户的电子邮件中所说的。

苹果公司已经发布QuickTime 7.1.3版来解决这些问题。

同时，Adobe公司在一份简报中说，Flash Player可能有多个远程代码执行漏洞，因为该程序"在将用户提供的输入拷贝到空间不足的内存缓冲区前无法正确对其进行边界检查"。

Adobe公司说，攻击者可以通过用大量动态生成的字符串数据建立媒体文件并将其提交到该媒体播放器处理的方式利用这一漏洞。

在一份关于该问题的简报中，赛门铁克公司说："这将使得该软件在一个明确的位置覆盖系统内存。这一问题的存在可能导致竟态条件、堆溢出和栈溢出漏洞并使得远程攻击者在用户运行这一软件的前提下可以执行任意机器代码。"

这一漏洞影响Flash Player 8.0.24.0及其以前的版本、Adobe Flash Professional 8、Flash Basic、Adobe Flash MX和2004 Adobe Flex 1.5。Adobe公司建议用户升级到9.0.16.0版本。