CanSecWest-MBP-Hack: Sicherheitslücke in QuickTime [Update]

Thomas Ptacek veröffentlichte weitere Details zum Hack eines MacBook Pro auf der CanSecWest-Konferenz vor wenigen Tagen. Demnach liegt die Schwachstelle letztlich in QuickTime, genaugenommen in QTs Handhabung von Java-Applets. Wenn QuickTime installiert ist, wird damit jeder Browser mit aktiviertem Java zum potentiellen Angriffsvektor. Bestätigt wurde die Sicherheitslücke bislang im Zusammenspiel mit Safari und Firefox auf Intel-Macs unter 10.4.9 mit sämtlichen verfügbaren Patches. Ob PPC-Macs darüber angreifbar sind, ist bislang noch nicht bestätigt worden. Ebenfalls dürften Firefox-Nutzer unter Windows (Win32, bei installiertem QT) angreifbar sein. Die Abhilfe besteht nach wie vor darin, Java im Browser der Wahl unbedingt bis auf weiteres zu deaktivieren.
Update: In einem Interview empfiehlt Dino Dai Zovi mehr als nur Java zu deaktivieren: «Turn off all unnecessary browser features such as extra plug-ins, JavaScript and Java. There was very little user action involved. Once the browser opened to a Web page that the attacker controlled, it was game over.»