AOLs ICQ-Software als mögliches Einfallstor

Core Security warnt vor mehreren Lücken in AOLs ICQ-Software. Neben dem ICQ-Client Pro 2003b weist auch die ICQ-Toolbar für den Internet Explorer eine Schwachstelle auf, die sich übers Netz ausnutzen lässt.

Durch einen Programmierfehler können spezielle Nachrichten in ICQ Pro 2003b einen Pufferüberlauf auf dem Heap auslösen, der sich ausnutzen lässt. Entdeckt wurde dieser Fehler mit Hilfe eines speziellen Fuzzing-Tools. Laut Sicherheitsnotiz sind ICQ 5.1 und ICQ2Go! nicht betroffen; Core Security rät zum Upgrade auf ICQ 5.1.

Auch die ICQ-Toolbar für den Internet Explorer überprüft ankommende Daten nicht ausreichend. Hier ist die Folge, dass in RSS-Feeds eingebetteter Script-Code zur Ausführung gelangen kann – und zwar innerhalb der lokalen Zone des IE. Das bedeutet nahezu unbeschränkte Rechte beispielsweise zum Nachladen und Starten von Programmen. Darüber hinaus ließen sich diverse Einstellungen der Toolbar manipulieren. Verwundbar ist die Version 1.3, eine gefixte Version gibt es bislang nicht. Als Lösung empfiehlt AOL laut Core Security, auf die mit ICQ 5.1 ausgelieferte Version 1.2 umzusteigen – die enthält nämlich noch keine RSS-Unterstützung.

Siehe dazu auch: (ju)

• AOL ICQ Pro 2003b heap overflow vulnerability von Core Security
• Multiple vulnerabilities in ICQ Toolbar 1.3 for Internet Explorer von Core Security