苹果QuickTime爆安全漏洞

　　上周末，波兰安全研究人员克尔斯坦?克洛斯科沃斯基(Krystian Kloskowski)发现了苹果QuickTime媒体播放器的安全漏洞。据悉，黑客可以利用这个安全漏洞获得受害计算机的远程控制权。

　　美国计算机网络紧急响应组（U.S. Computer Emergency Response Team）在周六的安全咨询会上指出，这一缺陷存在于苹果QuickTime Streaming Server和QuickTime播放软件支持的Real Time Streaming Protocol（RTSP）中。用户通过QuickTime Media Link文件或访问一个恶意Web网页，该网页提供了类似于视频媒体文件的内容，但实际上这是一个XML文件。用户若是运行它就是自动使其QuickTime播放器通过544端口于恶意服务器连接，从而被黑客控制。黑客可以在用户的系统上执行任意代码或发动拒绝服务攻击。由于iTunes包含有QuickTime的一个组件，安装iTunes也存在受到攻击的危险。

　　赛门铁克公司安全研究员伊莉娜?弗洛里奥(Elia Florio)在其报告中证明了该漏洞的存在并表示至今还没有这个安全漏洞的升级补丁。因此他强烈建议网络管理员要严格限制对外连接的TCP554端口使用防火墙，力劝用户不要去打开那些来路不明的网页链接。U.S. CERT却警告说：“RTSP可以使用大量的端口，因此仅仅限制某一种端口是完全不够的。”

　　据一位赛门铁克公司发言人透露，在Windows Vista和Windows XP Pro SP2上运行的QuickTime 7.2和7.3都会受到该缺陷的影响，那些Mac OS X的用户也不能幸免。

　　弗洛里奥还表示,如果使用微软IE6或IE7时以及Safari 3 Beta版等浏览器时,这些攻击是可以被防止的。但是他强调如果QuickTime是Firefox浏览器的默认媒体播放器，那么黑客就会很快得逞。

　　他同时还补充道：“这些被黑客用来袭击的视频文件还包括mpeg, avi以及其他能与QuickTime播放器产生关联的MIME类型文件。