popular cliente de mensajería instantánea ICQ. Los atacantes que logren
explotar esta vulnerabilidad podrán ejecutar código arbitrario en el
sistema remoto con los privilegios del usuario atacado.
El uso de ICQ está ampliamente extendido entre un gran número de
usuarios de la Red, según cifras de ICQ Inc (subsidiaria de AOL Time
Warner) más de 122 millones de usuarios. El problema existe en un
desbordamiento en el proceso de un mensaje de petición de la
característica Voice Video & Games.
Este mensaje malicioso se supone debe ser una petición de otro usuario
de ICQ invitando a la víctima a participar de forma interactiva en una
aplicación de un tercer fabricante. En las versiones anteriores a la
2001B, el desbordamiento ocurre dentro del propio código del cliente
ICQ, mientras que en la versión 2001B el código que contiene el
desbordamiento se ha trasladado a un plug-in externo.
Esta diferencia en la situación del código vulnerable hace que todas las
versiones anteriores a la ultima distribución 2001B sean vulnerables ya
que tras la conexión a un servidor AOL ICQ, las versiones vulnerables de
la versión 2001B reciben instrucciones del servidor para deshabilitar el
plug-in vulnerable. Como las versiones del cliente ICQ anteriores a la
2001B no tienen un plug-in externo para desactivarlo seguirán
vulnerables incluso tras la conexión al servidor.
AOL ha modificado la infraestructura de los servidores ICQ para filtrar
los mensajes maliciosos que intenten explotar esta vulnerabilidad. Sin
embargo puede explotarse mediante otros medios ya que incluso las
últimas versiones de ICQ pueden ser configuradas para aceptar conexiones
directas de cualquier usuario. Como las peticiones pueden enviarse de un
cliente a otro, el bloqueo de peticiones maliciosas a través de un
servidor central no es una solución efectiva. Por ello, se recomienda
por ello que todos los usuarios actualicen las versiones vulnerables de
ICQ a la versión 2001B Beta v 5.18 Build #3659.
Antonio Ropero
antonior@hispasec.com
antonior@hispasec.com
Más información:
Descarga de ICQ:
http://www.icq.com/download
CERT Advisory CA-2002-02 Buffer Overflow in AOL ICQ:
http://www.cert.org/advisories/CA-2002-02.html
