Quicktime für Windows 7.6.8 stopft zwei Sicherheitslöcher

Apple hat ein Update für seinen Media-Player Quicktime veröffentlicht. Version 7.6.8 beseitigt zwei Schwachstellen unter Windows, darunter eine Zero-Day-Lücke, für die seit Anfang September Beispielcode im Internet verfügbar ist.

Dabei handelt es sich um einen Fehler im Quicktime ActiveX Control. Einer Sicherheitsmeldung zufolge lässt sich der optionale Parameter „_Marshaled_pUnk“ dazu verwenden, eine beliebige Ganzzahl an das ActiveX Control weiterzugeben, die anschließend als Zeiger behandelt wird. Angreifer müssen Nutzer dazu nur zum Besuch einer manipulierten Website verleiten.

Darüber hinaus schließt das Update eine DLL-Hijacking-Lücke im Quicktime Picture Viewer. Sie ermöglicht es einem Angreifer, mittels manipulierter DLL-Dateien beliebigen Schadcode einzuschleusen und auszuführen.

Apple weist darauf hin, dass Systeme mit Mac OS X nicht betroffen sind. Nutzer von Windows XP, Vista und 7 können Quicktime 7.6.8 ab sofort von der Apple-Website herunterladen.