Windows Live Messenger stolpert über präparierte Kontaktlisten

Was auf den ersten Blick wie eine kritische Lücke im Windows Live Messenger 8.0 aussah, entpuppte sich bei näherer Analyse nur als Möglichkeit, die Anwendung zum Absturz zu bringen. Das zumindest behauptet Michele Cicciotti in einer Antwort auf der Sicherheitsmailing-Liste Full Disclosure zu einer Veröffentlichung einer kritischen Lücke im Live Messenger.

Demnach handelt es sich nicht um einen Heap Overflow, über den sich Code einschleusen und starten lässt, sondern um eine unbehandelte Exception, die beim Einlesen präparierter Kontaktlisten (*.ctt) auftritt. In der Folge würden aber keine Speicherbereiche überschrieben, die Anwendung würde nur eine Exception auslösen, die dann zum Absturz führe.

Der ursprüngliche Hinweis auf den Fehler im Messenger 8.0 war ohnehin recht kurz gefasst und verlinkte nur auf einen Proof-of-Concept-Exploit, mit der Überschrift "Messenger 8.0 Heap Overflow". Zwar führt auch der Exploit nur zum Absturz, trotzdem behauptete die Sicherheitsdatenbank Securitytracker, das Problem könne für "Remote Code Execution" genutzt werden. Securityfocus hingegen beschreibt wie auch Michele Cicciotti nur den Absturz des Live Messengers.

Obwohl sich der Fehler nur für DoS-Attacken ausnutzen lässt, ist das Problem ärgerlich. Einen Patch gibt es derzeit aber noch nicht. Anwender sollten nur vertrauenswürdige Kontaktlisten importieren.

Siehe dazu auch: (dab)

• Windows Live Messenger 8.0 ( Contact List *.ctt ) Heap Overflow, Hinweis auf Exploit auf securitydot
• Analyse des Exploits, von Michele Cicciotti
• Windows Live Messenger Contact List Heap Overflow, Fehlerbeschreibung von Securitytracker
• Microsoft Windows Live Messenger Contact List Processing Remote Denial of Service Vulnerability, Fehlerbeschreibung von Securityfocus