Yahoo regelt eine andere Puffer-Sammelverwundbarkeit im Kurier

Schwierigkeit: Mittel

30. August 2007

Zusammenfassung:

Spätes Gestern, Yahoo gab ein Update frei, das eine Sicherheit Verwundbarkeit regelt, die jede mögliche Version von Yahoo! beeinflußt Kurier vor dem 29. August 2007 angebracht. Durch das Verleiten von Yahoo! Kurierbenutzer in das Besuchen einer böswilligen Webseite, ein Angreifer kann diesen neuen Fehler ausnutzen, um Code auf Computer dieses Benutzers durchzuführen und gewinnt vielleicht volle Steuerung von ihr. Wenn Sie Yahoo! verwenden Kurier in Ihrem Netz oder vermuten, daß Ihre Benutzer es angebracht haben, entweder entfernen Sie es oder bringen die neueste Version an.

Belichtung:

Yahoo! Kurier ist eine der vielen sofortigen Nachrichtenübermittlung Anwendungen, die Benutzern erlauben, die Realzeit-, pop-up Anzeigen über das Internet miteinander zu senden. Sofortige Nachrichtenübermittlung ist genug populär, daß Ihre Benutzer Yahoo! angebracht haben konnten Kurierklient auf einem Firmacomputer, ob oder nicht Ihre Politik ihn autorisiert.

Gestern gab Yahoo frei beratend Beschreiben von a Puffersammelverwundbarkeit in einer ActiveX Steuerung, die mit allen vorhergehenden Versionen von Yahoo! versendet Kurier. Der Puffersammelfehler liegt spezifisch in der ActiveX Steuerung, die YVerInfo.dll genannt wird. Durch das Betrügen ein von Ihrem Yahoo! Kurierbenutzer in das Besuchen einer böswillig in Handarbeit gemachten Webseite, ein Angreifer konnten diesen Fehler ausnutzen, um Code auf Computer Ihres Benutzers, mit Privilegien Ihres Benutzers durchzuführen. Wenn der Benutzer lokale administrative Privilegien hat, könnte der Angreifer Gesamtsteuerung der Maschine des Benutzers gewinnen.

Wenn Sie lasen WatchGuard Leitung, können Sie dich erinnern unser Pfosten über eine ähnliche Verwundbarkeit in Yahoo! Kurier, verursacht durch einen Fehler in einer webcam ActiveX Steuerung. Yahoo örtlich festgelegt dieser Fehler außerdem, letzte Woche. Durch das Anbringen von diesem Yahoo! Kurierupdate, regeln Sie diese neue Verwundbarkeit und dieses ältere.

Lösung Weg:

Selbst wenn Ihre Organisation nicht offiziell den Gebrauch von ungesicherter sofortiger Nachrichtenübermittlung indossiert, bestehen Angestellte manchmal fort, auf zu versuchen, sofortige Nachrichtenübermittlung Software auf Firmamaschinen zu schleichen. Wenn Sie vermuten, haben einige Ihrer Benutzer Yahoo! angebracht Kurier, halten Versenden für eine Warnung über diese Verwundbarkeit zu allen Benutzern in Ihrem Netz. Wenn Ihre Firmapolitik den Gebrauch von sofortiger Nachrichtenübermittlung verlangt, sollten Sie Download und bringen Sie die neueste Version von Yahoo! an Kurier (8.1.0.41 9).

Für alle Benutzer:

Dieser Angriff reist als normal-schauender HTTP Verkehr, der Sie erlauben müssen, also Ihre Netzbenutzer das World Wide Web zugänglich machen können. Folglich das Yahoo Update ist anzubringen Ihre beste Lösung.

Status:

Yahoo hat ein Update freigegeben, um diese Verwundbarkeit zu regeln.

Hinweise:

• 29. August Yahoo! Kurier-Sicherheit beratend
• 21. August Yahoo! Kurier-Sicherheit beratend
• WatchGuard Leitung Yahoo! Messenger Post

Secunia’s Yahoo! Messenger Security Advisory