Yahoo Fixes Another Buffer Overflow Vulnerability in Messenger Yahoo corrige uma outra vulnerabilidade de buffer overflow Messenger

Severity: Medium Severidade: Médio

30 August, 2007 30 de Agosto, 2007

Summary: Resumo:

Late yesterday, Yahoo released an update that fixes a security vulnerability affecting any version of Yahoo! Late ontem, o Yahoo liberada uma atualização que corrige uma vulnerabilidade de segurança que afectam qualquer versão do Yahoo! Messenger installed before August 29, 2007. Messenger instalado antes de 29 de agosto, 2007. By enticing a Yahoo! Por que compreende um Yahoo! Messenger user into visiting a malicious Web page, an attacker can exploit this new flaw to execute code on that user’s computer, and possibly gain full control of it. Messenger em uma visita a um usuário malicioso página Web, um invasor pode explorar essa nova falha de executar código no computador do usuário e, possivelmente, obter o controlo total da mesma. If you use Yahoo! Se você usar o Yahoo! Messenger in your network, or suspect that your users have installed it, either remove it or install the latest version. Messenger em sua rede, ou suspeitar que seus usuários tenham instalado-lo, quer removê-lo ou instalar a versão mais recente.

Exposure: Exposição:

Yahoo! Yahoo! Messenger is one of the many Instant Messaging applications that allow users to send real-time, pop-up messages to each other over the Internet. Messenger é um dos muitos Instant Messaging aplicações que permitem aos usuários enviar em tempo real, mensagens pop-up uns aos outros através da Internet. Instant Messaging is popular enough that your users might have installed the Yahoo! Instant Messaging é popular o suficiente para que seus usuários possam ter instalado o Yahoo! Messenger client on a company computer whether or not your policy authorizes it. Messenger no computador uma empresa ou não autoriza que a sua política.

Yesterday, Yahoo released an Ontem, o Yahoo liberada uma advisory consultivo describing a descrevendo uma buffer overflow vulnerability buffer overflow vulnerabilidade in an ActiveX control that ships with all previous versions of Yahoo! em um controle ActiveX que os navios em todas as versões anteriores do Yahoo! Messenger. Messenger. The buffer overflow flaw lies specifically in the ActiveX control called YVerInfo.dll. O buffer overflow falha reside precisamente no controle ActiveX chamado YVerInfo.dll. By tricking one of your Yahoo! Por enganar um de sua conta do Yahoo! Messenger users into visiting a maliciously crafted Web page, an attacker could exploit this flaw to execute code on your user’s computer, with your user’s privileges. Messenger usuários em uma visita a um mal intencionado página Web, um invasor poderia explorar esta vulnerabilidade para executar código em seu computador do usuário, com seus privilégios do usuário. If the user has local administrative privileges, the attacker could gain total control of the user’s machine. Se o usuário tenha privilégios administrativos, o invasor poderia ganhar controlo total da máquina do usuário.

If you read WatchGuard Wire , you may remember Se você ler WatchGuard Wire, você poderá lembrar our post nosso post about a similar vulnerability in Yahoo! sobre uma vulnerabilidade semelhante no Yahoo! Messenger, caused by a flaw in a webcam ActiveX control. Messenger, causado por uma falha em uma webcam controle ActiveX. Yahoo Yahoo fixed fixo that flaw as well, last week. que falha tão bem, na semana passada. By installing this Yahoo! Ao instalar esta Yahoo! Messenger update, you fix both this new vulnerability and that older one. Messenger atualização, você quer fixar essa nova vulnerabilidade e que a mais antiga.

Solution Path: Solução Path:

Even if your organization does not officially endorse the use of unsecured Instant Messaging, employees sometimes persist in trying to sneak Instant Messaging software onto company machines. Mesmo que sua organização não aprovar oficialmente o uso do Instant Messaging não garantidos, dos trabalhadores às vezes persistir passar sorrateiramente na tentativa de Instant Messaging software para empresa de máquinas. If you suspect some of your users have installed Yahoo! Se você suspeitar que alguns de seus usuários tenham instalado o Yahoo! Messenger, consider forwarding a warning about this vulnerability to all the users on your network. Messenger, encaminhando considerar um alerta sobre essa vulnerabilidade para todos os usuários em sua rede. If your company policy does call for the use of Instant Messaging, you should Se a sua empresa faz chamada política para o uso do Instant Messaging, você deve download baixar and install the latest version of Yahoo! e instale a última versão do Yahoo! Messenger (8.1.0.419). Messenger (8.1.0.419).

For All Users: Para todos os usuários:

This attack travels as normal-looking HTTP traffic, which you need to allow so your network users can access the World Wide Web. Este ataque viaja como normal-olhando o tráfego HTTP, o que você precisa para permitir assim a sua rede de usuários podem acessar a World Wide Web. Therefore, installing the Yahoo update is your best solution. Por conseguinte, actualizar a instalação do Yahoo é a sua melhor solução.

Status: Status:

Yahoo has released an update to fix this vulnerability. Yahoo foi liberada uma atualização para corrigir essa vulnerabilidade.

References: Referências:

• August 29th Yahoo! 29 de agosto Yahoo! Messenger Security Advisory Mensageiro de segurança consultivo
• August 21st Yahoo! 21 de agosto Yahoo! Messenger Security Advisory Mensageiro de segurança consultivo
• WatchGuard Wire Yahoo! WatchGuard fio Yahoo! Messenger Post Messenger Post

Secunia’s Yahoo! SECUNIA do Yahoo! Messenger Security Advisory Mensageiro de segurança consultivo