• IT-Karriere:
  • Services:

Instant Messaging

ICQ 7 als Sicherheitsrisiko

ICQ 7 für Windows lässt sich über die Autoupdatefunktion zum Ausführen von fremdem Programmcode missbrauchen. Dazu muss laut dem Informatikstudenten Daniel Seither lediglich der Updateserver des Instant-Messaging-Dienstes imitiert werden.

Artikel veröffentlicht am ,
ICQ-Logo
ICQ-Logo

Der ICQ-Client prüft bei jedem Programmstart, ob ein Update auf dem Server liegt - er überprüft aber weder die Serveridentität noch, ob die übertragenen Dateien auch von ICQ stammen. Daniel Seither, Informatikstudent an der TU Darmstadt, hat herausgefunden, dass ICQ damit leicht ein unechter Updateserver vorgesetzt werden kann - etwa mittels DNS-Spoofing - und unautorisierter Code übertragen werden kann. Statt einem Update könnte der ICQ-Client beim nächsten Start dann etwa Schadsoftware ausführen.

Stellenmarkt
  1. ARD ZDF Deutschlandradio Beitragsservice, Köln
  2. Erzbistum Paderborn, Paderborn

Laut Seither betrifft diese Sicherheitslücke alle bisherigen Versionen, von ICQ 7 für Windows bis zur aktuellen Version 7.2 Build 3525. Da sich die automatischen Updates nicht deaktivieren lassen, rät er deshalb dazu, auf ICQ 7 ganz zu verzichten oder einen anderen Instant-Messenger zu benutzen, bis das Problem behoben wurde. ICQ hat bisher noch nicht reagiert, zum Download wird nur die Build 3525 aus dem Januar 2010 angeboten.

Auf Securityfocus.com hat Daniel Seither auch einige Codezeilen veröffentlicht, mit denen sich ein ICQ-Update-Server fälschen lässt ("Remote Code Execution in ICQ 7"). Auch beim US-Cert ist eine Vulnerability Note VU#680540 zu dem Sicherheitsproblem zu finden ("ICQ 7 fails to verify the origin of software updates").

Bitte aktivieren Sie Javascript.
Oder nutzen Sie das Golem-pur-Angebot
und lesen Golem.de
  • ohne Werbung
  • mit ausgeschaltetem Javascript
  • mit RSS-Volltext-Feed


Anzeige
Top-Angebote
  1. (u. a. Battlefield Promo mit Battlefield V Definitive Edition für 24,99€, Star Wars Battlefront...
  2. 382,69€ (Bestpreis!)
  3. 189,00€ (Bestpreis!)
  4. 72,90€

Döch 19. Jan 2011

Du meinst eines das Hashes benutzt? Die man auch Faken (bzw kollidieren lassen) kann? An...

_Jo_ 19. Jan 2011

Auf deinem hausinternen DNS? Halte ich für unrealistsich, dass den jeder daheim hat. (Das...

FF-Update 19. Jan 2011

Firefox nutzt eine Updateroutine auf HTTPS-Basis. Ist nicht das gelbe vom Ei, kostet...

elgooG 19. Jan 2011

Nein, das ist kein Trollposting, ich meine es wirklich so. Dadurch, dass jedes Programm...

irgendjemand 18. Jan 2011

schon immer gewesen. Totaler FAIL!


Folgen Sie uns
       


Opel Zafira-e Life Probe gefahren

Wir haben den Opel Zafira-e Life ausführlich getestet.

Opel Zafira-e Life Probe gefahren Video aufrufen
Summit Lite im Test: Auch Montblancs günstige Smartwatch ist zu teuer
Summit Lite im Test
Auch Montblancs "günstige" Smartwatch ist zu teuer

Montblancs Summit Lite ist eine Smartwatch für Fitnessbegeisterte, die nach echter Uhr aussieht. Den Preis halten wir trotz hervorragender Verarbeitung für zu hoch.
Ein Test von Tobias Költzsch

  1. Soziales Netzwerk Bei Facebook entsteht eine Smartwatch im Geheimen
  2. Wearable Amazfit bringt kompakte Smartwatch für 100 Euro
  3. T-Touch Connect Solar Tissots Smartwatch ab 935 Euro in Deutschland verfügbar

Börse: Was zur Hölle ist ein SPAC?
Börse
Was zur Hölle ist ein SPAC?

SPACs sind die neue Modewelle an der Börse: Firmen, die es eigentlich nicht könnten, gehen unter dem Mantel einer anderen Firma an die Börse. Golem.de hat unter den Mantel geschaut.
Eine Analyse von Achim Sawall

  1. Wallstreetbets Trade Republic entschuldigt sich für Probleme mit Gamestop
  2. Tokyo Stock Exchange Hardware-Ausfall legte Tokioter Börse lahm

No-Regret-Infrastruktur: Wasserstoffnetze für Stahl und Chemie
No-Regret-Infrastruktur
Wasserstoffnetze für Stahl und Chemie

Die Organisation Agora Energiewende schlägt vor, sich beim Bau von Wasserstoffleitungen und Speichern zunächst auf wenige Regionen zu konzentrieren.
Von Hanno Böck

  1. Brennstoffzellenfahrzeug Fraunhofer IFAM entwickelt wasserstoffspeichernde Paste
  2. Wasserstoff Lavo entwickelt Wasserstoffspeicher fürs Eigenheim
  3. Energiewende EWE baut einen Wasserstoffspeicher bei Berlin

    •  /