[NEWS] MSN Messenger: Falla Critica "Webcam"

[c.m.g]

Notizia del 29/08/2007

Il codice exploit per una vulnerabilità "altamente critica" in MSN/Live Messenger è stato pubblicato su un forum in lingua cinese, per questo motivo Microsoft incoraggia tutti gli utenti del suo software di instant messaging a migrare il prima possibile alla versione Windows Live Messenger 8.1, verificata come non vulnerabile.

L'exploit, disponibile sul sito team509.com, è causato da un errore nella gestione delle conversazioni video che può essere sfruttato per causare un sovraccarico heap-based del buffer sfruttando l'invio di pacchetti di dati modificati ad arte verso l'utente vittima.

Come riporta Secunia, nota azienda di security monitoring, in un advisory dedicato, un attacco exploit condotto con successo tramite la falla potrebbe permette l'esecuzione di codice arbitrario nel sistema attaccato, ma richiede comunque che l'utente vittima accetti un invito ad utilizzare la webcam. La vulnerabilità è stata confermata nelle versioni 7.x del software IM e precedenti.

Gli utenti sono invitati ad eseguire l'aggiornamento a Windows Live Messenger 8.1 o successivi, che non sono affetti dal bug.

I software non vulnerabili includono anche la più recente beta di Live Messenger 8.5, resa disponibile a fine Maggio.


Secondo un portavoce del colosso di Redmond, il problema di sicurezza è ancora sotto indagine. "La nostra indagine finora mostra che l'ultima versione, Windows Live Messenger 8.1, non è vulnerabile al problema", aggiunge Microsoft evidenziando la necessità di aggiornare anche per gli utenti della prima versione di Live Messenger 8.0. Ricordiamo che Windows Live Messenger 8.1 è disponibile da fine Gennaio scorso.

Un simile codice exploit era stato reso pubblico giorni fa per una vulnerabilità in Yahoo Messenger, che poteva essere sfruttata sempre tramite l'invio di un richiesta di utilizzo webcam. Il problema era stato portato alla luce a metà Agosto dai ricercatori del Mcafee Avert Labs. 5 giorni fa Yahoo ha rilasciato la nuova versione Yahoo! Messenger 8.1.0.415, che include un fix per la problematica. Ulteriori dettagli su questo aggiornamento di sicurezza sono stati pubblicati in un advisory da Yahoo stessa.

Fonte: Tweakness