Descrizione del problema
E’ stata riscontrata una vulnerabilita’ in Microsoft Windows Messenger che
potrebbe essere sfruttata da un attaccante remoto per ottenere l’accesso ad
informazioni sensibili.
Questa vulnerabilita’ e’ dovuta al controllo ActiveX “Messenger.UIAutomation.1”
marcato come “safe-for-scripting”, e potrebbe permettere di ottenere
i privilegi dell’utente loggato su Windows Messenger in modo da catturare
il logon-ID dell’utente, loggarsi remotamente sul client Messenger dell’utente,
cambiare stato, ottenere informazioni sul contatto, e iniziare sessioni
chat audio e video senza che l’utente loggato se ne accorga.
:: Piattaforme e software interessati
– – Microsoft Windows Messenger 4.x
– – Microsoft Windows Messenger 5.x
:: Impatto
– – Manipolazione di dati
– – Accesso ad informazioni sensibili
:: Soluzioni
Applicare le patch
– — Windows Messenger 4.7 —
Windows XP SP2/SP3:
http://www.microsoft.com/
Windows XP Professional x64 Edition (optionally with SP2):
http://www.microsoft.com/
Windows Server 2003 SP1/SP2:
http://www.microsoft.com/
Windows Server 2003 x64 Edition (optionally with SP2):
http://www.microsoft.com/
Windows Server 2003 with SP1/SP2 for Itanium-based Systems:
http://www.microsoft.com/
– — Windows Messenger 5.1 —
Windows 2000 SP4:
http://www.microsoft.com/
Windows XP SP2/SP3:
http://www.microsoft.com/
Windows XP Professional x64 Edition (optionally with SP2):
http://www.microsoft.com/
Windows Server 2003 SP1/SP2:
http://www.microsoft.com/
Windows Server 2003 x64 Edition (optionally with SP2):
http://www.microsoft.com
Windows Server 2003 with SP1/SP2 for Itanium-based Systems:
http://www.microsoft.com
http://www.microsoft.com
FrSirt:
http://www.frsirt.com
Secunia:
http://secunia.com
CVE Mitre:
http://www.cve.mitre.org