Schwere Sicherheitslücke in QuickTime [Update_3]

Zwei Sicherheitsforscher schafften es im Rahmen der CanSecWest-Konferenz ein vollständig gepatchtes MacBook Pro mit 10.4.9 zu knacken. Die Schwachstelle liegt in QuickTimes Umgang mit Java-Applets im Java-Plugin in Safari (bzw. WebKit - derzeit noch unklar), das über den Besuch einer dafür vorbereiteten Webseite das Ausführen von Schadcode (mit den Rechten des angemeldeten Nutzers) möglich macht. Die technischen Details dürften demnächst veröffentlicht werden. Die Sicherheitslücke selbst soll nicht detailliert preisgegeben, sondern direkt an Apple weitergeleitet werden. Bis auf weiteres empfiehlt es sich dennoch für vorsichtige Anwender, Safari und alle weiteren WebKit-basierten Browser (bis zum hoffentlich bald folgenden Patch) zu meiden. Für ihren erfolgreichen Hack kassierten Shane Macaulay und Dino Dai Zovi $10.000 Preisgeld und das MacBook Pro.
Update: Die Schwachstelle betrifft ebenso Firefox.

«Turn off Java; to be safe, until Dino lets us say more, turn off everything else too. Or live dangerously like me», so Thomas Ptacek dem offenbar bereits weitere Details zu der Sicherheitslücke bekannt sind.
Update_2 23.04. 00:10 Uhr: Die Informationen sind nach wie vor spärlich, aber alles deutet derzeit darauf hin, dass die Lücke tatsächlich im Java-Plugin liegt und über ein böswilliges Java-Applet ausgenutzt werden kann. Insofern fährt man bis auf weiteres besser mit dem Deaktivieren von Java im jeweiligen Browser der Wahl.
Update_3 24.04. 00:45Uhr: QuickTime soll Schuld haben. Weitere Details in einem neuen Artikel. Das Deaktiveren von Java im Browser schützt weiterhin.