雅虎在信使固定另一个缓冲溢出弱点

严肃： 媒介

2007年8月30日，

总结：

晚昨天，雅虎发布了固定影响雅虎的所有版本安全漏洞的更新! 在2007年8月安装的信使29日之前。 通过诱惑雅虎! 信使用户到参观一个恶意网页里，攻击者在那名用户的计算机能利用这个新的缺点执行代码和可能获取完全控制它。 如果您使用雅虎! 信使在您的网络或者怀疑您的用户安装了它，去除它或安装最新的版本。

曝光：

雅虎! 信使是允许用户互相传送实时，弹开信息在互联网许多立即传报应用的之一。 立即传讯是足够普遍的您的用户也许已经安装了雅虎! 信使客户在公司计算机是否您的政策批准它。

昨天，雅虎发布了 情况通知 描述a 缓冲溢出弱点 在运送以雅虎的所有老版本的有效控制! 信使。 缓冲溢出缺点在称YVerInfo.dll的有效控制具体地在。 通过欺骗你的一雅虎! 信使用户到参观一个恶意地被制作的网页里，攻击者在您的用户的计算机可能利用这个缺点执行代码，以您的用户的特权。 如果用户有地方行政特权，攻击者可能取得总对用户的机器控制。

如果您读了 WatchGuard导线您可以记住 我们的岗位 关于一个相似的弱点在雅虎! 信使，造成由一个缺点在webcam有效控制。 雅虎 固定 那个缺点，上星期。 通过安装这雅虎! 信使更新，您固定这个新的弱点和那更旧一个。

解答道路：

即使您的组织不正式地支持对无担保的立即传讯的用途，雇员在设法有时坚持偷偷地走立即传讯软件公司机器。 如果您怀疑你的一些用户安装了雅虎! 信使，在您的网络认为向前关于这个弱点的一次警告对所有用户。 如果您的公司政策要求对立即传讯的用途，您应该 下载 并且安装雅虎的最新的版本! 信使(8.1.0.41 9)。

为所有用户：

这次攻击移动作为正常看的HTTP交通，您需要允许，因此您的网络用户能访问万维网。 所以，安装雅虎更新是您的最佳的解答。

状态：

雅虎发布更新固定这个弱点。

参考：

• 8月29日雅虎! 信使安全情况通知
• 8月21日雅虎! 信使安全情况通知
• WatchGuard Wire Yahoo! Messenger Post

Secunia’s Yahoo! Messenger Security Advisory