Por duas razões:
Primeiro: a Apple está descontinuando o QuickTime para Microsoft Windows. Eles não emitirão mais correções de segurança para o produto na Plataforma Windows e recomendam que os usuários o desinstalem. Note que isso não se aplica ao QuickTime para Mac OSX.
Segundo: nossa Zero Day Initiative acabou de divulgar dois alertas, ZDI-16-241 e ZDI-16-242, detalhando duas novas vulnerabilidades críticas que afetam o Quick Time para Windows. Esses alertas foram divulgados de acordo com a Política de Divulgação da Zero Day Initiative, para quando um fornecedor não emite mais patches de segurança para uma vulnerabilidade divulgada. E como a Apple não está mais fornecendo atualizações de segurança para o QuickTime para Windows, essas vulnerabilidades nunca mais serão corrigidas.
Não estamos cientes de nenhum ataque ativo contra essas vulnerabilidades atualmente. Mas a única maneira de proteger seus sistemas Windows de possíveis ataques contra essas ou outras vulnerabilidades no QuickTime da Apple agora é desinstalá-lo. O QuickTime para Windows agora se junta ao Microsoft Windows XP e ao Java 6 da Oracle como software que não são mais atualizados para corrigir vulnerabilidades, estando sujeitos a um risco cada vez maior conforme vulnerabilidades não corrigidas sejam descobertas.
Você pode encontrar informações de como desinstalar o Apple QuickTime para Windows no site da Apple aqui: https://support.apple.com/HT205771
Nossos clientes do TippingPoint estão protegidos contra essas duas vulnerabilidades desde 24 de novembro de 2015, com os filtros 21918(ZDI-CAN-3401) e 21919(ZDI-CAN-3402).
Porém, mesmo com proteções, o melhor é seguir a orientação da Apple e desinstalar o QuickTime para Windows. Essa é a única maneira de ficar protegido contra todas as vulnerabilidades atuais e futuras do produto, agora que a Apple não fornecerá mais atualizações de segurança para ele.
Para os que querem detalhes mais técnicos, esses são dois pontos importantes: ambas são vulnerabilidades de execução de código remoto de corrupção de pilha. Se uma vulnerabilidade ocorre, o agressor pode gravar dados fora de um buffer de memória temporal alocado. Se a outra vulnerabilidade ocorre no stco atom fornecendo um index inválido, o agressor pode gravar dados fora de um buffer de pilha alocado. Ambas as vulnerabilidades requerem que o usuário acesse uma página maliciosa na web ou abra um arquivo malicioso para serem exploradas. E ambas as vulnerabilidades executam um código no contexto de segurança do player QuickTime, que na maioria dos casos seria o conectado ao usuário.
Ambas as vulnerabilidades têm a pontuação 6.8 da CVSS 2.0. Para mais informações, veja:
http://zerodayinitiative.com/advisories/ZDI-16-241/
http://zerodayinitiative.com/advisories/ZDI-16-242/
Para obter mais informações, veja esse alerta da US-CERT: https://www.us-cert.gov/ncas/alerts/TA16-105A
