Orzysz

Endriu48

Poważne usterki w Gadu-Gadu
Z Sieci:
Secunia poinformowała o kilku istotnych nowo wykrytych usterkach w komunikatorze Gadu-Gadu odkrytych przez Błażeja Migę i Jaroslawa Sajko z PSNC Security Team.

Dwie usterki dotyczą funkcji przesyłania grafik do innego użytkownika. Obrazki z nazwą zaczynającą się od AUX: mogą doprowadzić do zablokowania wątku odpowiedzialnego za obsługę wiadomości, zaś te z nazwą rozpoczynającą się od LPT: mogą spowodować wysłanie dowolnej treści na drukarkę. Problemy mogą sprawić też grafiki o długie nazwie (pomiędzy 192 i 200 znaków), które mogą spowodować zawieszenia komunikatora odbiorcy.

Trzecia usterka dotyczy bezpośrednich połączeń, a więc użytkowników, których tę opcję mają włączoną. Efektem wysłania specjalnego pakietu DCC przez atakującego może być zajęcie dużej ilości pamięci u odbierającego, a także wyświetlenie wielu komunikatów błędów.

Czwarta z usterek związana jest z obsługą linków URI rozpoczynających się od gg:, pozwalających zazwyczaj na rozpoczęcie rozmowy z numerem Gadu-Gadu. Jeśli atakującemu uda się namówić ofiarę do odwiedzenia strony WWW z wieloma linkami rozpoczynającymi się od gg:, może on doprowadzić do utraty konfiguracji programu.

Ostatnia wykryta usterka dotyczy obiektu ActiveX EasycallLite.oce, który nie zapewniając dostatecznego bezpieczeństwa udostępnia funkcjonalność rozmów głosowych. Po nakłonieniu użytkownika GG do odwiedzenia specjalnej strony WWW można wykorzystać lukę do przechwytywania dźwięków z mikrofonu.

Wszystkie wykryte usterki dotyczą komunikatora w wersji 7.0.20 i wcześniejszych. Niestety, jak udało nam się zaobserwować, program Gadu-Gadu nie proponuje automatycznej aktualizacji do najnowszej wersji 7.0.22, w której błędy zostały poprawione. Użytkownikom Gadu-Gadu sugerujemy więc jak najszybsze ręczne zainstalowanie najnowszej wersji.
Exclamation