В интернет-пейджере AOL Instant Messenger обнаружена уязвимость (ОПИСАНИЕ: AOL Instant Messenger поддерживает выполнение HTML-кода для улучшения дизайна сообщений. Однако отсутствие должной фильтрации кода и использование для обработки HTML компонентов браузера Microsoft Internet Explorer позволяют злоумышленнику выполнить произвольный HTML, JavaScript или VBScript-код в "локальной зоне", для которой по умолчанию установлен наименьший уровень безопасности. Атакующий, таким образом, может выполнить произвольный HTML-код на компьютере жертвы, отправив ей специально сформированное сообщение, а также эксплуатировать уязвимости Microsoft Internet Explorer и запускать ActiveX-компоненты, содержащие уязвимости к удаленному выполнению произвольного кода. ЗАЩИТА: Уязвимость устранена в AOL Instant Messenger 6.5.4.15 beta.) , позволяющая выполнять произвольный код на языке JavaScript, запускать уязвимые ActiveX-компоненты и эксплуатировать уязвимости Microsoft Internet Explorer в «локальной зоне», позволяющей сценариям JavaScript выполняться с наивысшими привилегиями.

Уязвимости обнаружила ИБ-компания Core Security в AIM 6.1, 6.2 beta, AIM Pro и AIM Lite. AOL была оповещена и выпустила исправленную версию AIM 6.5.4.15 beta, которую настоятельно советует установить, сообщает Vnunet.com.

AOL Instant Messenger использует протокол OSCAR, тот же, что и ICQ, однако имеет ряд надстроек, позволяющих добавлять в сообщения HTML-код. Для обработки HTML-кода используется движок Microsoft Internet Explorer. Он делает это в «локальной зоне», то есть код в сообщениях обрабатывается аналогично локальным веб-страницам, с наивысшими привилегиями для JavaScript и ActiveX-компонентов. Используя эту уязвимость, злоумышленник может прислать жертве сообщение, содержащее код эксплуатации уязвимостей в Internet Explorer, подгружающий вредоносную страницу или вредоносный исполняемый файл.

02.10.07, Вт, 16:56, Мск
http://safe.cnews.ru/news/line/index.shtml?2007/10/02/268619