Apple Patch QuickTime Bug That Was Hidden in Book

Apple telah mengeluarkan patch untuk perisian QuickTime dan iTunes, menetapkan kelemahan keselamatan kritikal bersama-sama dengan bug yang pertama kali diwarnakan pada awal tahun ini dalam buku mengenai penggodaman komputer Macintosh.

Kemas kini menetapkan 10 kerentanan QuickTime dan bug tunggal dalam iTunes. Kelemahan itu menjejaskan kedua-dua pengguna Windows dan Mac dan telah ditambal dalam QuickTime 7.6.2 dan iTunes 8.2, yang diterbitkan Isnin.

Kebanyakan bug tidak diketahui secara umum sebelum kemas kini hari ini, jadi tidak mungkin mereka dieksploitasi oleh penjenayah siber. Walau bagaimanapun, ternyata satu kecacatan - pepijat dalam cara QuickTime membaca fail yang dimampatkan menggunakan piawaian mampatan JPEG 2000 (JP2) - sebahagiannya didedahkan dalam buku Charlie Miller dan Dino Dai Zovi, "Buku Panduan Mac Hacker, "dibebaskan pada bulan Mac

[Bacaan lanjut: Bagaimana untuk membuang malware dari PC Windows Anda]

Dalam satu wawancara pada hari Isnin, Miller berkata dia meletakkan arahan untuk mencari bug di bahagian buku yang menerangkan bagaimana mencari kelemahan dalam perisian Apple. "Jika anda mengikuti semua langkah yang anda akan dapati … pepijat itu," katanya. "Saya tidak menunjukkan pepijat, tetapi saya memberikan resipi untuk mencarinya."

Miller didedahkan semasa bercakap di persidangan CanSecWest pada bulan Mac bahawa dia mempunyai arahan tersembunyi untuk mencari kelemahan dalam bukunya. Selepas ahli-ahli pasukan keselamatan Apple mendekati beliau di persidangan itu untuk bertanya mengenai masalah itu, beliau menyerahkan kod eksploit itu, katanya pada hari Isnin.

Secara kebetulan, penggodam Mac lain, Damian Put, menjual kelemahan yang sama satu bulan kemudian kepada TippingPoint 3Com bahagian, yang juga melaporkan isu itu kepada Apple. Walaupun TippingPoint tidak akan mengatakan apa yang ia bayar Put untuk kecacatan, syarikat biasanya membayar ribuan dolar untuk bug seperti ini. Walaupun buku Put menggunakan teknik yang berbeza dari Miller dan Dai Zovi untuk mencari isu itu, TippingPoint tidak tahu bahawa ia telah membeli bug dalam buku "The Mac Hacker's Handbook" sehingga Apple dimaklumkan ia kira-kira seminggu yang lalu, menurut pengurus penyelidikan keselamatan TippingPoint, Pedram Amini.

Ia tidak biasa bagi dua penggodam untuk menemukan pepijat yang sama, kata Amini. Baru-baru ini tiga penyelidik berasingan telah menyerahkan kekurangan Internet Explorer serupa dalam tempoh enam bulan. Walau bagaimanapun, beliau menambah, "Sekiranya kita membaca buku itu sebelum menerima isu ini dari Damian, kami mungkin tidak akan membuat tawaran."

Dalam penasihat keselamatan, Apple mengiktiraf Miller dan Put dengan mencari isu itu. > Selain pembaikan keselamatan, pelepasan iTunes 8.2 termasuk sokongan untuk perisian iPhone 3.0 yang akan datang, yang akan diumumkan pada Persidangan Pengembang Worldwide Apple minggu depan di San Francisco