QuickTime, responsable del hack que afecta a los Mac y también a los PC

Versión para imprimir

El concurso, celebrado en el marco de la conferencia de seguridad CanSecWest celebrada la semana pasada en Vancouver puso contra las cuerdas a un par de portátiles MacBook Pro actualizados con los últimos parches de seguridad. La batalla fue ganada por Dino Di Zovie, quien envió un URL en el que se incluía un exploit a un amigo que asistía a la conferencia: Shane Macaulay. Di Zovie ganó el premio de 10.000 dólares ofrecido por Zero Day Initiative, mientras que Macaulay obtuvo un MacBook Pro.

Sean Comeau, uno de los organizadores de la CanSecWest indicó que el bug se encontraba en Safarsi, el navegador Web incluido con el Mac OS X, pero los investigadores de Matasano Security LLC, una consultoría afincada en Nueva York, ha indicado que el fallo se encuentra realmente en QuickTime.

Ptacek ha confirmado que tanto Safari como Firefox de Mozilla pueden ser atacados mediante el bug de QuickTime. Matasano ha indicado que asume la vulnerabilidad de Firefox en los PC con Windows siempre que esté instalado el plug-in de QuickTime. Por otra parte, si como el grupo ha indicado, cualquier navegador Java puede ser atacado siempre que esté instalado QuickTime entonces los usuarios de Internet Explorer también estarían incluido en el grupo de riesgo.

Según Ptacek, "Al desactivar Java se detiene la vulnerabilidad".

QuickTime ya ha presentado varias vulnerabilidades, siendo parcheado por última vez a mediados de marzo. Anteriormente también recibió otra actualización en enero para cerrar un agujero detectado por el proyecto Month of Apple Bugs.