Lücke im AOL Instant Messenger

Über eine Schwachstelle im AOL Instant Messenger (AIM) können Angreifer das System kompromittieren. Die Lücke lässt sich über einen ungeprüften Puffer ausnutzen.

Die Sicherheitslücke beruht auf einem Begrenzungsfehler bei der Verarbeitung von "Away"-Nachrichten. Durch Übergabe einer überlangen "Away"-Nachricht (rund 1024 Byte) kann die Lücke ausgenutzt werden, um einen Stack-basierten Pufferüberlauf zu erzeugen.

Laut zugehörigem Security Report ist dies auch durch eine speziell präparierte Website möglich, da über den "aim:"-URI-Handler die überlange Nachricht über den "goaway?message"-Parameter übergeben werden kann. Ein erfolgreicher Angriff erlaubt das Ausführen beliebigen Codes.

Die Sicherheitslücke ist bestätigt für die Version 5.5.3595. Andere Versionen könnten jedoch ebenfalls betroffen sein. Abhilfe in Form eines Patches gibt es derzeit nicht. AOL sei informiert, habe aber nicht geantwortet, heißt es.

Um über Sicherheitslücken auf dem Laufenden zu bleiben, empfiehlt sich ein Blick in die Security Reports von tecCHANNEL. Den Service, der in Zusammenarbeit mit Secunia angeboten wird, können Sie auch als kostenlosen Newsletter abonnieren. (uba)