ICQ üzenet feldolgozás string formázási sérülékenysége

CH azonosító

CH-1044

Felfedezés dátuma

2008.02.29.

Súlyosság

Közepes

Érintett rendszerek

ICQ

Érintett verziók

ICQ ICQ 6.x

Összefoglaló

Az ICQ olyan sérülékenysége vált ismertté, melyet kihasználva rosszindulatú támadók feltörhetik egy másik felhasználó rendszerét.

Leírás

Az ICQ olyan sérülékenysége vált ismertté, melyet kihasználva rosszindulatú támadók feltörhetik egy másik felhasználó rendszerét.

A sérülékenységet egy formátum string hiba okozza az üzenet, a beágyazott Internet Explorerben való megjelenítéséhez szükséges HTML kódjának generálásakor. Ez kihasználható egy különlegesen kialakított, formátum string meghatározásokat tartalmazó üzenet küldésével egy másik felhasználónak.

Sikeres kihasználás esetén tetszőleges kód futtatható.

A sérülékenység az ICQ 6 build 6043-as verziójában található, egyéb verziók is érintettek lehetnek.

Megoldás

Engedélyezze az “Üzenetek fogadása kizárólag a címlistából” opciót és távolítsa el onnan a nem megbízható felhasználókat.

Ha a “Kérdezzen rá a megjelenítésre, ha ismeretlen küldőtől érkezik üzenet.” opció engedélyezve van, akkor tiltsa le az ismeretlen feladótól származó üzenetek megjelenítését.