Está usted visitando una publicación en la hemeroteca de CSIRT-CV.
Para acceder al portal y contenido actual, visite https://www.csirtcv.gva.es
07/12/2011
Exploit de día cero para Yahoo! Messenger
Una vulnerabilidad 0-day en Yahoo! Messenger permitiría a atacantes remotos modificar el mensaje de estado de cualquier usuario.La forma de explotar esta vulnerabilidad es modificar el mensaje de estado de la víctima con una URL que apunte a una página maliciosa que distribuya malware o que intente explotar alguna vulnerabilidad en el navegador, Java, Flash, PDF, etc. Según describe Sophos, cualquier usuario que pueda recibir mensajes desde contactos fuera de sus listas es 100% vulnerable a dicha vulnerabilidad, opción que se encuentra habilitada por defecto.
La forma de explotar la vulnerabilidad es mediante el envio de un fichero malicioso al usuario, el cual carga un iFrame que permite modificar el mensaje de status de la víctima.
Versiones 11.x de Yahoo! Messenger, incluida la reciente versión 11.5.0.152-us.
Referencias:None
Solución:Hasta que Yahoo! solucione la vulnerabilidad se recomienda cambiar la configuración del cliente para ignorar mensajes de usuarios no pertenecientes a tus listas de contactos.
Notas:http://nakedsecurity.sophos.com/2011/12/03/new-zero-day-yahoo-messenger-exploit-hijacks-users-status-update/
http://cert.inteco.es/securityAdvice/Actualidad/Avisos_seguridad_tecnicos/exploit_0day_yahoo_messenger_20111204
http://cert.inteco.es/securityAdvice/Actualidad/Avisos_seguridad_no_tecnicos/fallo_seguridad_yahoo_messenger_20111204