Apple corrige un bogue QuickTime caché dans le livre

Apple a publié des correctifs son logiciel QuickTime et iTunes, corrigeant des failles de sécurité critiques avec un bug qui a été suggéré au début de l'année dans un livre sur le piratage informatique Macintosh.

Les mises à jour corrigent 10 vulnérabilités QuickTime et un seul bogue dans iTunes. Les failles affectent les utilisateurs Windows et Mac et ont été corrigées dans les versions QuickTime 7.6.2 et iTunes 8.2, publiées lundi.

La plupart des bogues n'étaient pas connus publiquement avant les mises à jour d'aujourd'hui, il est donc peu probable qu'ils aient été exploités par les cybercriminels. Cependant, il s'avère qu'un défaut - un bug dans la façon dont QuickTime lit les fichiers compressés en utilisant la norme de compression JPEG 2000 (JP2) - a été partiellement révélé dans le livre de Charlie Miller et Dino Dai Zovi, "The Mac Hacker's Handbook, "Publié en Mars.

[Lectures supplémentaires: Comment supprimer les logiciels malveillants de votre PC Windows]

Dans une interview lundi, Miller a dit qu'il a mis des instructions pour trouver le bug dans une section du livre qui décrit comment trouver des défauts dans le logiciel d'Apple. "Si tu suivais toutes les étapes, tu trouverais … le bug", a-t-il dit. "Je n'ai pas montré le bug, mais j'ai donné la recette pour le trouver."

Miller a révélé lors d'une conférence à la conférence CanSecWest en mars qu'il avait caché des instructions pour trouver la faille dans son livre. Après que des membres de l'équipe de sécurité d'Apple l'aient approché de la conférence pour lui poser des questions sur le problème, il a remis le code d'exploitation, lundi.

Un autre pirate Mac, Damian Put, a vendu la même faille un mois plus tard. division, qui a également signalé la question à Apple. Bien que TippingPoint ne dise pas ce qu'il a payé Put pour la faille, les entreprises paient généralement des milliers de dollars pour des bugs comme celui-ci. Bien que Put ait utilisé une technique différente de Miller et Dai Zovi pour trouver le problème, TippingPoint ne savait pas qu'il avait acheté le bug dans "The Mac Hacker's Handbook" jusqu'à ce qu'Apple en informe. Selon le responsable de la recherche sur la sécurité de TippingPoint, Pedram Amini, il y a une semaine.

Il n'est pas inhabituel que deux pirates découvrent le même virus, a dit Amini. Récemment, trois chercheurs ont soumis des failles Internet Explorer identiques sur une période de six mois. Cependant, ajouta-t-il, «si nous avions lu le livre avant de recevoir ce numéro de Damian, nous n'aurions probablement pas fait d'offre.»

Dans son avis de sécurité, Apple a reconnu Miller et Put comme trouvant le problème. > En plus du correctif de sécurité, la version iTunes 8.2 inclut la prise en charge du prochain logiciel iPhone 3.0, qui devrait être dévoilé lors de la Worldwide Developer Conference d'Apple la semaine prochaine à San Francisco.