PDA

Просмотр полной версии : Дыра в Icq 6

Anton_K
10.12.2007, 14:51
Добрые люди нашли дыру в ICQ 6 (возможно в 5.1 тоже). Входящие сообщения не фильтруются на html и javascript код, и сразу передаются движку IE для рендеринга. При этом выполняется и javascript.
Информация частично подтвержена разными людми, но имеются подводные камни. Так сообщения с эксплойтами должны посылаться из Миранды с плагином ICQ+.
Подробности возможно будут позже.
groundhog
10.12.2007, 14:56
Что-то не верится, что такая банальная бага в софте производителя... Я думаю, что новость некорректно интерпретирована... Ждём подробностей...
Linux
10.12.2007, 15:09
Жду подробностей
Ci5
10.12.2007, 15:16
Зачем создавать тему без явных фактов ? А я щас скажу что похекал мелкософт.
Anton_K
10.12.2007, 18:42
Итак, новые подробности: уязвимы не сообщения, а поле названия tZers.
ICQ tZers - это небольшие анимированные по технологии Flash персонажи и различные "смайлы".
В Миранде с плагином ICQ Plus можно вручную изменять это поле и вставлять туда html.
С javascript пока не все ясно.
Тут лежит видео, где все это наглядно демонстрируется http://rapidshare.com/files/73627439/ICQ6HTMLZERODAYEXPLOIT.rar.html
Knight_of_Darkness
10.12.2007, 19:31
В ICQ Lite 5.1 появилась кнопка "tZers". Зачем она нужна?
В новом поколении популярного мессенджера ICQ разработчики попытались максимально расширить возможности пользователей. Это включает как детальные настройки программы "под себя", так и изменение внешнего вида практически до неузнаваемости.

Кроме того, теперь у пользователей ICQ есть дополнительные возможности выражать свои эмоции партнерам по переписке. ICQ tZers - это небольшие анимированные по технологии Flash персонажи. Различные "смайлы", а также анимированные изображения мальчиков и девочек в различных ситуациях позволяют сделать сообщения более персонализированными и эмоциональными. Собственно, кнопка tZers либо открывает окно с выбором анимированных персонажей, либо позволяет установить этот модуль, который в некоторых модификациях новой ICQ не входит в установочный комплект по умолчанию.

Всё же лучше чем ничего. Уважаемые юзеры классической аськи, у всех ли появилась эта кнопка?

зы
Не внушает мне доверя твой ник:D..
ты где работаешь?