Apple iTunes < 12.4 DLL 插入任意程式碼執行 (經認證的檢查)

high Nessus Plugin ID 91347

概要

遠端主機上有一個受到 DLL 插入弱點影響的應用程式。

說明

遠端 Windows 主機上安裝的 Apple iTunes 版本比 12.4 舊。因此受到設定元件中的 DLL (動態連結程式庫) 插入弱點影響,該弱點會在從未受信任的目錄執行安裝程式時觸發。攻擊者可惡意利用此弱點,在未受信任的目錄中放置特製的 DLL 檔案,進而導致在目前使用者的內容中執行任意程式碼。

請注意,Nessus 並未測試此問題,而是僅依據應用程式自我報告的版本號碼。

解決方案

升級至 Apple iTunes 12.4 或更新版本。

另請參閱

https://support.apple.com/en-us/HT206379

http://www.nessus.org/u?7c25c376

Plugin 詳細資訊

嚴重性: High

ID: 91347

檔案名稱: itunes_12_4.nasl

版本: 1.5

類型: local

代理程式: windows

系列: Windows

已發布: 2016/5/27

已更新: 2019/11/19

支援的感應器: Nessus Agent, Nessus

風險資訊

VPR

風險因素: Medium

分數: 5.9

CVSS v2

風險因素: High

基本分數: 7.2

時間分數: 5.3

媒介: CVSS2#AV:L/AC:L/Au:N/C:C/I:C/A:C

CVSS 評分資料來源: CVE-2016-1742

CVSS v3

風險因素: High

基本分數: 7.8

時間分數: 6.8

媒介: CVSS:3.0/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H

時間媒介: CVSS:3.0/E:U/RL:O/RC:C

弱點資訊

CPE: cpe:/a:apple:itunes

必要的 KB 項目: SMB/Registry/Enumerated, installed_sw/iTunes Version

可輕鬆利用: No known exploits are available

修補程式發佈日期: 2016/5/16

弱點發布日期: 2016/5/16

參考資訊

CVE: CVE-2016-1742

APPLE-SA: APPLE-SA-2016-05-16-6