Cross Site Scripting: ICQ-Client für Windows wird zum Einfallstor

Die ICQ-Clients bis Version 7.5 können für einen Cross-Site-Scripting-Angriff genutzt werden. Über die Software kann ein Angreifer auf das darunterliegende Windows-System zugreifen.

26. Juli 2011 um 18:32 Uhr / Jörg Thoma

12 Kommentare News folgen (öffnet im neuen Fenster)

Über eine Sicherheitslücke im ICQ-Client können Angreifer auf Windows-Systeme zugreifen (Bild: Levent Kayan) — Über eine Sicherheitslücke im ICQ-Client können Angreifer auf Windows-Systeme zugreifen Bild: Levent Kayan

Mit einem einfachen Javascript können Angreifer ICQ-Clients nutzen(öffnet im neuen Fenster) , um Windows-Systeme zu kompromittieren. Dabei kann über die gekaperten Session-IDs entfernter Benutzer auf die Software und das darunterliegende Betriebssystem zugegriffen werden.

Bild 1/1: Angreifer können eine Sicherheitslücke im ICQ-Client nutzen, um sich Zugriff auf Windows-Systeme zu verschaffen.

Der Berliner Entwickler und Sicherheitsexperte Levent " noptrix(öffnet im neuen Fenster) " Kayan, der zuvor die XSS-Schwachstelle in Skype gefunden und beschrieben(öffnet im neuen Fenster) hatte, entdeckte auch die ICQ-Lücke. Sie ist mit der Lücke in Skype fast identisch. Laut dem Armenier Kayan werden Ein- und Ausgaben in Profileinträge nicht hinreichend überprüft und bereinigt.

Neues aus der Golem Karrierewelt(öffnet im neuen Fenster)