Zum Hauptinhalt Zur Navigation Zur Suche

Neuer Yahoo Messenger behebt zwei Sicherheitslücken

Sicherheitslecks erlauben Ausführung von Programmcode. Mit einer neuen Version vom Yahoo Messenger sollen gleich zwei Sicherheitslücken in dem Instant-Messaging-Client behoben werden. Über eines der beiden Sicherheitslöcher kann ein Angreifer seinem Opfer eine ausführbare Datei unterschieben, was dem Angreifer eine umfassende Kontrolle über ein fremdes System verschaffen kann.
/ Ingo Pakalski
16 Kommentare Auf Google folgen (öffnet im neuen Fenster)

Das eine Sicherheitsleck im Yahoo Messenger zeigt lange Dateinamen im Download-Dialog des Instant-Messengers nicht korrekt an, so dass ein Angreifer eine Datei mit einer doppelten Dateiendung auf ein fremdes System schleusen kann. Ein Opfer wird so in den Glauben versetzt, etwa eine Bilddatei zu öffnen, startet aber stattdessen eine ausführbare Datei, sofern die Anzeige von Dateiendungen im Windows Explorer deaktiviert ist, was standardmäßig der Fall ist.

Die zweite, weniger gefährliche Sicherheitslücke kann nur von lokalen Nutzern für Angriffe missbraucht werden. Dazu muss eine Reihe von Voraussetzungen erfüllt sein: Zunächst muss der Yahoo Messenger woanders als im Programme-Verzeichnis installiert sein. Dann könnte ein Angreifer darin eine Datei mit dem Namen ping.exe ablegen und diese ausführen, sobald der Audio-Setup-Wizard aufgerufen wird. Sollten alle diese Vorgaben erfüllt sein, kann ein Angreifer über ping.exe beliebigen Programmcode auf einem fremden System ausführen.

Beide Sicherheitslecks wurden für den Yahoo Messenger 6.0.0.1750 bestätigt, womöglich sind aber auch andere Versionen davon betroffen. In der aktuellen Version des Yahoo Messenger wurden die Sicherheitslücken geschlossen. Der Yahoo Messenger 6.0.0.1921 steht kostenlos zum Download(öffnet im neuen Fenster) bereit.


Relevante Themen