Anunciadas nuevas vulnerabilidades que afectan a Apple OS X

Se han anunciado dos vulnerabilidades en Apple Mac OS X, que pueden ser explotadas por usuarios maliciosos para provocar condiciones de denegación de servicio o incluso llegar a ejecutar comandos arbitrarios en los sistemas afectados.

El primero de los problemas está provocado por un error en Apple QuickDraw y puede explotarse a través de las funciones "GetSrcBits32ARGB()" y "InternalUnpackBits()", para provocar la caída de la aplicación afectada o inluso comprometer el sistema cuando se procesan imágenes PICT específicamente manipuladas. Se recomienda no abrir imágenes PICT procedentes de fuentes desconocidas.

La segunda vulnerabilidad se debe a un error de formato de cadenas en la aplicación Software Update cuando se procesan ficheros con un nombre de archivo especialmente modificado, lo que puede llegar a emplearse para ejecutar comandos arbitrarios si se induce al usuario para que abra el archivo malicioso.

Las vulnerabilidades se presentan en Mac OS X 10.4.8 y anteriores

Laboratorio Hispasec
laboratorio@hispasec.com

Más información:

MOAB-24-01-2007: Apple Software Update Catalog Filename Format String Vulnerability
http://projects.info-pull.com/moab/MOAB-24-01-2007.html

MOAB-23-01-2007: Apple QuickDraw GetSrcBits32ARGB() Memory Corruption Vulnerability
http://projects.info-pull.com/moab/MOAB-23-01-2007.html

Apple OS X QuickDraw "InternalUnpackBits" Memory Corruption
http://security-protocols.com/sp-x43-advisory.php