Vulnerabilidades en servidores Apple QuickTime/Darwin Streaming 4.1.x

Se han identificado múltiples vulnerabilidades en el servidor de
streaming Darwin que pueden permitir a un atacante provocar
denegaciones de servicio o el acceso a información sensible.

En estos momentos existen versiones de este servido para plataformas
Mac OS X, Linux, Solaris y Windows NT/2000.

1) Es posible provocar una denegación de servicio mediante la petición
de un nombre de dispositivo DOS, ej. “GET /AUX” o “GET /../AUX”. Esto
solo afecta a sistemas Microsoft Windows.

2) Es posible provocar una denegación de servicio mediante la petición
de “/view_broadcast.cgi” a través de HTTP en el puerto 1220/tcp. Esto
solo afecta a sistemas Microsoft Windows.

3) Es posible visualizar el código fuente de cualquier archivo
mediante “/parse_xml.cgi?filename=nombre_de_archivo” a través de HTTP.

4) Es posible visualizar el código fuente de cualquier script
añadiendo “%2e” y “%20” al nombre del script al realizar la petición
HTTP.

5) Es posible visualizar cualquier archivo fuera de la raíz del web
usando una escalada de directorios trivial en peticiones HTTP. Ej.
“GET /../qtusers”.

6) Un usuario malicioso podrá configurar la contraseña de admin si el
sistema está conectado a Internet antes de que sea correctamente
configurado. El problema es que “Setup Assistant” está disponible para
cualquier usuario hasta que el sistema esté configurado. Esto solo
afecta en sistemas Mac OS X.

Todos los problemas (excepto el 3) están corregidos en la versión
4.1.3g.

http://developer.apple.com/darwin/projects/streaming/

Como contramedida para el problema 3 solo se puede eliminar el archivo
“parse_xml.cgi” hasta que se publique una actualización.

Más información:

Multiple Vulnerabilities Apple QuickTime/Darwin Streaming Server
http://www.rapid7.com/advisories/R7-0015.html

Streaming Server
http://developer.apple.com/darwin/projects/streaming/