『QuickTime』に重大な脆弱性

Apple ユーザーに警告する。同社 CEO の Steve Jobs 氏が『Macworld Conference & Expo』(1月9日-13日) で行なった基調演説のビデオを観たり、『iPod』を使ったりするのを一時中止し、今すぐ『QuickTime』ソフトウェアをアップデートしてクラッカーの乗っ取り攻撃を防ぐべきだ。

QuickTime は、動画や音声を扱うソフトウェアだが、5件の重大な脆弱性が存在することが分かった。なお、同社の人気ジュークボックス ソフトウェア『iTunes』でも脆弱性が見つかっている。両ソフトウェアとも Mac OS 版と Windows 版があり、脆弱性はどちらにも存在するという。

QuickTime の脆弱性5件はいずれも、画像処理に関するものだ。そのうち、脆弱性データベース『CVE』の登録番号『CVE-2005-2340』に掲載されている脆弱性は、セキュリティ会社 Secunia の説明によると、「『QTIF』形式の画像ファイルを処理する際の境界エラーで、攻撃されるとヒープ領域のバッファオーバーフローを起こす恐れがある」という。こうしたバッファオーバーフローは、攻撃者に任意のコード実行を許しかねない。

『CVE-2005-3707』『CVE-2005-3708』『CVE-2005-3709』に掲載されている脆弱性は、『TGA』形式の画像ファイルの処理に関するもので、細工された TGA ファイルを表示すると攻撃者に任意のコード実行を許す恐れがある。『CVE-2005-3710』『CVE-2005-3711』に掲載されている脆弱性は『TIFF』関連、『CVE-2005-3713』に掲載されている脆弱性は『GIF』関連と、形式こそ違うが同じく画像同様ファイルの処理に関するものだ。

『CVE-2005-4092』に掲載されている脆弱性は、Secunia の説明によると、「ある種のメディアファイルを処理する際の境界エラーで、悪用されるとヒープ領域のバッファオーバーフローを起こす恐れがある」という。これもまた悪質な細工が施されたメディアファイルを見ると、攻撃者に任意のコード実行を許しかねない。

これら脆弱性の多くを発見したと言うセキュリティ会社 eEye によると、攻撃の危険に晒されているのは QuickTime ユーザーだけでないという。QuickTime との連携が密接であることから iTunes のユーザーも危険に晒されており、「これらの脆弱性はいずれも、iTunes 経由でも攻撃可能」だと指摘している。

eEye の共同創立者でクラック行為に関する最高責任者の Marc Maiffret 氏は、声明で次のように述べている。「IT 部門の多くはたぶん、Apple が公開したセキュリティ更新を見ても、消費者向けアプリケーションに関するものであり、自社のセキュリティポリシーについて心配する必要はないと思うだろう。だが、そうした認識は間違いだ。同僚が社内で iPod を持ち歩いているのを見たことがない人は少ないだろう。社内で iPod を目にするということは、たぶん iTunes が社内ネットワーク上に存在することを意味する」

Apple は、現時点まで公表された脆弱性を全て修正する QuickTime のセキュリティ更新を公開済みだ。