Schwachstelle im AOL Instant Messenger

Einem Security Advisory zufolge, haben die Sicherheitsspezialisten von DigitalPranksters in der englischsprachigen Windows-Version des AOL Instant Messenger (AIM) 5.2.3292 eine Sicherheitslücke aufgedeckt, mit dem ein Angreifer Code auf den Rechner eines Opfers einschleusen und starten kann. Die aktuelle deutsche Version des AIM hat die Versionsnummer 5.1, ob hier der gleiche Fehler enthalten ist, ist noch unklar.

In der Funktion "getfile" ist ein Fehler bei der Verarbeitung das Parameters "screenname" enthalten. Ist der übergebene Parameter länger als 1130 Zeichen, so wird ein Buffer Overflow provoziert, der den Stack überschreibt. Die Funktion "getfile" dient zum Laden von Dateien eines anderen AOL-Anwenders und ist im Protokoll des Messengers als "aim://getfile?screenname[]" implementiert.

Klickt ein Anwender auf eine manipulierte URL, erhält er zunächst einen Warn-Dialog, das nun eine Datei heruntergeladen wird. Bestätigt er dies, startet der Code in der URL, noch bevor der AIM die Datei herunterlädt. Hat der Anwender in einem vorherigen Dialog "Don't ask me again" beziehungsweise "Nicht mehr Nachfragen" bestätigt, erfolgt beim Anklicken einer URL keine weitere Interaktion.

AOL.COM hat laut DigitalPranksters eine fehlerbereinigte Beta-Version 5.5.3415 zum Download bereit gestellt. Ein Patch für die Standardversion steht noch nicht zur Verfügung.

Siehe dazu auch: (dab)

• Security Advisory von DigitalPranksters