iTunes 12.1.1 para Windows sigue con bibliotecas de terceros vulnerables

Apple acaba de liberar la versión 12.1.1 de iTunes para Windows y hasta aquí podríamos decir que es una buena práctica tener el software actualizado para proteger a tus usuarios, pero la sorpresa viene cuando se evalúa el contenido del paquete y las bibliotecas de terceros que son utilizadas. No es la primera vez que hablamos de este Fail en Seguridad Apple, por ejemplo cuando salió iTunes 12.0.1 ya hablamos de que existían librerías con más de 7 años sin actualizarse y vulnerabilidades conocidas.

A continuación se muestran los distintos componentes en los que podemos encontrar librerías que tienen vulnerabilidades conocidas y que se encuentran a día de hoy expuestas con iTunes 12.1.1. En el fichero AppleMobileDeviceSupport.msi:

• Libeay32.dll y ssleay32.dll 0.9.8za. La versión 0.9.8ze cuenta con 21 parches de seguridad que faltan en la versión 0.9.8za.
• Libcurl.dll 7.16.2. Tiene 8 años y al menos 22 CVEs no parcheados. La versión actual es la 7.40.0. Un usuario malicioso puede cargas DLLs vulnerables y explotar bugs.

En el fichero AppleApplicationSupport.msi tenemos:

•  Msvcr100.dll y msvcp100.dll 10.0.40219.1 desde el año 2011. La versión actual de la librería se encuentra en la 10.0.40219.325. El atacante puede ejecutar código con las vulnerabilidades conocidas.

Figura 1: Seclists con el reporte

El fichero AppleApplicationSupport.msi y iTunes.msi utilizan rutas que contienen espacios y no están entre comillas. Esto es un fallo importante ya que si la variable de entorno tratada en la ejecución de un programa tiene un espacio, al no estar entre comillas, Windows en este caso intentaría ejecutar un binario distinto. Por ejemplo, si el comando a ejecutar es @= [INSTALLDIR]iTunes.exe y INSTALLDIR vale c:\program files, el sistema intentará ejecutar program.exe, si existe se ejecutará.