Krytyczny błąd w odtwarzaczu QuickTime (wersje 7.2, 7.3 i być może starsze) zagraża bezpieczeństwu systemów Windows XP i Windows Vista. Lukę wykrył polski haker Krystian Kloskowski.

Błąd polega na nieprawidłowym przetwarzaniu strumienia Real Time Streaming Protocol (RTSP). Komputer może zostać zainfekowany poprzez odwiedzenie spreparowanej strony internetowej zawierającej złośliwy kod (specjalnie przygotowany strumień audio) lub przez otworzenie spreparowanego pliku QTL (np. przesłanego jako załącznik). Po zainfekowaniu atakujący może przejąć pełną kontrolę nad zainfekowanym komputerem.

Wygląda na to, że luka jest łatwiejsza do wykorzystania na Windows Vista. Apple ewidentnie “zapomniał” użyć funkcji bezpieczeństwa Visty — Address Space Layout Randomization (ASLR) — która poprzez losowe alokowanie pamięci RAM dla danych i aplikacji (jak .exe czy .dll) utrudnia atakującemu zlokalizowanie podatnego na włamanie kodu.

Kloskowski razem z anonimowym hakerem o pseudonimie InTeL przygotowali już przykładowy (“proof-of-concept”) exploit wykorzystujący opisywaną lukę i opublikowali na stronie milw0rm.com.

Doświadczenie pokazuje, że luki w QuickTime bardzo szybko wykorzystywane są przez crackerów. Należy się spodziewać, że i tym razem użyją ją do swoich celów, przynajmniej do czasu załatania dziury przez Apple.