Abo
  • IT-Karriere:

Instant Messaging

ICQ 7 als Sicherheitsrisiko

ICQ 7 für Windows lässt sich über die Autoupdatefunktion zum Ausführen von fremdem Programmcode missbrauchen. Dazu muss laut dem Informatikstudenten Daniel Seither lediglich der Updateserver des Instant-Messaging-Dienstes imitiert werden.

Artikel veröffentlicht am ,
ICQ-Logo
ICQ-Logo

Der ICQ-Client prüft bei jedem Programmstart, ob ein Update auf dem Server liegt - er überprüft aber weder die Serveridentität noch, ob die übertragenen Dateien auch von ICQ stammen. Daniel Seither, Informatikstudent an der TU Darmstadt, hat herausgefunden, dass ICQ damit leicht ein unechter Updateserver vorgesetzt werden kann - etwa mittels DNS-Spoofing - und unautorisierter Code übertragen werden kann. Statt einem Update könnte der ICQ-Client beim nächsten Start dann etwa Schadsoftware ausführen.

Stellenmarkt
  1. BWI GmbH, Meckenheim, München
  2. Universitätsklinikum Münster, Münster

Laut Seither betrifft diese Sicherheitslücke alle bisherigen Versionen, von ICQ 7 für Windows bis zur aktuellen Version 7.2 Build 3525. Da sich die automatischen Updates nicht deaktivieren lassen, rät er deshalb dazu, auf ICQ 7 ganz zu verzichten oder einen anderen Instant-Messenger zu benutzen, bis das Problem behoben wurde. ICQ hat bisher noch nicht reagiert, zum Download wird nur die Build 3525 aus dem Januar 2010 angeboten.

Auf Securityfocus.com hat Daniel Seither auch einige Codezeilen veröffentlicht, mit denen sich ein ICQ-Update-Server fälschen lässt ("Remote Code Execution in ICQ 7"). Auch beim US-Cert ist eine Vulnerability Note VU#680540 zu dem Sicherheitsproblem zu finden ("ICQ 7 fails to verify the origin of software updates").



Anzeige
Spiele-Angebote
  1. 4,99€
  2. (-70%) 8,99€
  3. 4,99€
  4. 2,49€

Döch 19. Jan 2011

Du meinst eines das Hashes benutzt? Die man auch Faken (bzw kollidieren lassen) kann? An...

_Jo_ 19. Jan 2011

Auf deinem hausinternen DNS? Halte ich für unrealistsich, dass den jeder daheim hat. (Das...

FF-Update 19. Jan 2011

Firefox nutzt eine Updateroutine auf HTTPS-Basis. Ist nicht das gelbe vom Ei, kostet...

elgooG 19. Jan 2011

Nein, das ist kein Trollposting, ich meine es wirklich so. Dadurch, dass jedes Programm...

irgendjemand 18. Jan 2011

schon immer gewesen. Totaler FAIL!


Folgen Sie uns
       


ANC-Kopfhörer im Lautstärkevergleich

Wir haben Microsofts Surface Headphones und die Jabra Elite 85h bei der ANC-Leistung verglichen. Für einen besseren Vergleich zeigen wir auch die besonders leistungsfähigen ANC-Kopfhörer von Sony und Bose, die WH-1000XM3 und die Quiet Comfort 35 II.

ANC-Kopfhörer im Lautstärkevergleich Video aufrufen
Timex Data Link im Retro-Test: Bill Gates' Astronauten-Smartwatch
Timex Data Link im Retro-Test
Bill Gates' Astronauten-Smartwatch

Mit der Data Link haben Timex und Microsoft bereits vor 25 Jahren die erste richtige Smartwatch vorgestellt. Sie hat es sogar bis in den Weltraum geschafft. Das Highlight ist die drahtlose Datenübertragung per flackerndem Röhrenmonitor - was wir natürlich ausprobieren mussten.
Ein Test von Tobias Költzsch

  1. Smart Watch Swatch fordert wegen kopierter Zifferblätter von Samsung Geld
  2. Wearable EU warnt vor deutscher Kinder-Smartwatch
  3. Sportuhr Fossil stellt Smartwatch mit Snapdragon 3100 vor

Dark Mode: Wann Schwarz-Weiß-Denken weiterhilft
Dark Mode
Wann Schwarz-Weiß-Denken weiterhilft

Viele Nutzer und auch Apple versprechen sich vom Dark Mode eine augenschonendere Darstellung von Bildinhalten. Doch die Funktion bringt andere Vorteile als viele denken - und sogar Nachteile, die bereits bekannte Probleme bei der Arbeit am Bildschirm noch verstärken.
Von Mike Wobker

  1. Sicherheitsprobleme Schlechte Passwörter bei Ärzten
  2. DrEd Online-Arztpraxis Zava will auch in Deutschland eröffnen
  3. Vivy & Co. Gesundheitsapps kranken an der Sicherheit

Projektmanagement: An der falschen Stelle automatisiert
Projektmanagement
An der falschen Stelle automatisiert

Kommunikationstools und künstliche Intelligenz sollen dabei helfen, dass IT-Projekte besser und schneller fertig werden. Demnächst sollen sie sogar Posten wie den des Projektmanagers überflüssig machen. Doch das wird voraussichtlich nicht passieren.
Ein Erfahrungsbericht von Marvin Engel


      •  /