Está usted visitando una publicación en la hemeroteca de CSIRT-CV.
Para acceder al portal y contenido actual, visite https://www.csirtcv.gva.es
29/07/2011
ICQ vulnerable a robatori de comptes
L'investigador de seguretat Levent Kayan adverteix que tant el client ICQ instant messenger per a Windows com la web de ICQ contenen vulnerabilitats que potencialment permetria a un atacant prendre el control del compte d'un usuari de ICQ.D'acord amb Kayan, ICQ no comprova adequadament la informació del perfil de l'usuari i falla a l'hora de comprovar el missatge d'estat, que es pot elegir lliurement, i verificar si el missatge conté codi executable. Aquest forat de seguretat anomenat cross-site scripting permet a l'atacant col·locar codi JavaScript en el seu perfil de ICQ.
Si la víctima obri el perfil ICQ de l'atacant amb el seu client ICQ o a través de la web, el codi JavaSCript embegut en el servidor ICQ s'executarà. Açò permet als atacants, per exemple, robar les galetes de les víctimes i prendre el control de les seues sessions. L'script pareix executat en la màquina local, per la qual cosa els atacants podrien a més executar aplicacions i llegir arxius de l'usuari.
La companyia desenvolupadora de ICQ li ha comentat a heise Security que els desenvolupadors han identificat el problema i estan en el bon camí per a arreglar-ho.
Sistemes Afectats:
El problema afecta a la versió actual 7.5 per a Windows 7.
Referències:None
Solució:No hi ha actualment una solució que arregle el problema.
Notes: