Hoy Apple advirtió que abrir o ver archivos de imagen podía llevar a la ejecución de código malicioso que atacara a los usuarios de Mac OSX. En una actualización que contiene un total de 19 vulnerabilidades documentadas, Apple indicó que hackers maliciosos podrían usar los archivos PNG (Portable Network Graphics) y otras imágenes para tomar control de sistemas sin la actualización de Apple.
Estas son las vulnerabilidades descubiertas:
- CVE-2009-1728 — Un stack buffer overflow existe al manejar imágenes RAW de Canon. Ver una imagen manipulada maliciosamente puede llevar a la terminación inesperada de la aplicación o de ejecución arbitraria de código.
- CVE-2009-1722 — Un heap buffer overflow existe en el manejo de la Entrada/Salida de las imágenes abiertas con OpenEXR. Ver una imagen manipulada maliciosamente puede llevar a la terminación inesperada de la aplicación o de ejecución arbitraria de código.
- CVE-2009-1721 — Un error de memoria no inicializada puede ocurrir al manejar la Entrada/Salida de imágenes abiertas con OpenEXR. Ver una imagen manipulada maliciosamente puede llevar a la terminación inesperada de la aplicación o de ejecución arbitraria de código.
- CVE-2009-1720 — Errores múltiples de integer overflows pueden ocurrir al hacer uso de Entrada/Salida de imágenes abiertas con OpenEXR. Ver una imagen manipulada maliciosamente puede llevar a la terminación inesperada de la aplicación o de ejecución arbitraria de código.
- CVE-2009-2188 — Un buffer overflow puede ocurrir al hacer manejo de Entrada/Salida de imágenes cuando se manejan metadatos EXIF. Ver una imagen manipulada maliciosamente puede llevar a la terminación inesperada de la aplicación o de ejecución arbitraria de código.
- CVE-2009-0040 — Un apuntador no inicializado puede ocurrir al manejar imágenes PNG. Procesar una imagen manipulada maliciosamente puede llevar a la terminación inesperada de la aplicación o de ejecución arbitraria de código.
La actualización resuelve serios problemas de seguridad en ColorSync, kernel, CoreTypes y Networking.
Fuente: ZDNet