Está usted visitando una publicación en la hemeroteca de CSIRT-CV.
Para acceder al portal y contenido actual, visite https://www.csirtcv.gva.es
07/12/2011
Exploit de dia zero per a Yahoo! Messenger
Una vulnerabilitat 0-day en Yahoo! Messenger permetria a atacants remots modificar el missatge d’estat de qualsevol usuari.La forma d’explotar esta vulnerabilitat és modificar el missatge d’estat de la víctima amb una URL, que apunta a una pàgina que distribuïsca codi maliciós o que intente explotar alguna vulnerabilitat en els navegadors Java, Flaix, PDF, etc. Segons descriu Sophos, qualsevol usuari que puga rebre missatges des de contactes fora de les seues llistes és 100% vulnerable a esta vulnerabilitat, opció que es troba habilitada per defecte.
La forma d’explotar la vulnerabilitat és per mitjà de l’enviament d’un fitxer maliciós a l’usuari, el qual càrrega un iFrame que permet modificar el missatge d’estatus de la víctima.
Sistemes Afectats:
Versions 11.x de Yahoo! Messenger, inclosa la recent versió 11.5.0.152-us.
Referències:None
Solució:Fins que Yahoo! solucione la vulnerabilitat, es recomana canviar la configuració del client per a ignorar missatges d’usuaris no pertanyents a les teues llistes de contactes.
Notes:http://nakedsecurity.sophos.com/2011/12/03/new-zero-day-yahoo-messenger-exploit-hijacks-users-status-update/
http://cert.inteco.es/securityAdvice/Actualidad/Avisos_seguridad_tecnicos/exploit_0day_yahoo_messenger_20111204
http://cert.inteco.es/securityAdvice/Actualidad/Avisos_seguridad_no_tecnicos/fallo_seguridad_yahoo_messenger_20111204