ICQ zet zes deuren open voor hackers

Mailcomponent kan worden misleid

06 mei 2003 | Jamie Biesemans De populaire instant messaging-applicatie ICQ is zo lek als een mandje. Dat zegt de beveiligingsfirma Core Security Technologies in een bericht dat maandag de wereld werd ingestuurd. Van de zes geïdentificeerde lekken zijn er twee zeer ernstig: een hacker kan ze uitbuiten en eigen code op een pc uitvoeren.

Core Technologies zegt geen reactie te hebben ontvangen op hun bevindingen, ondanks maandenlange pogingen contact op te nemen met de makers van ICQ. Op dit moment is er dan ook geen patch verkrijgbaar.

De zes kwesties worden beschreven in een bulletin dat gisteren naar de BugTraq-mailinglijst werd verstuurd. Drie ervan hebben betrekking op het mailprogramma dat in het feature-rijke ICQ is ingebouwd. Ze zijn uit te buiten door een e-mail met een aangepaste inhoud te versturen naar een ontvanger met het IM-programma.

Een van de resterende kwetsbaarheden maakt een ICQ-gebruiker kwetsbaar voor een DoS-aanval via de module die banners toont onderaan een messagevenster. Een tweede achterdeur is te openen via de automatische update-functie van ICQ.

Core Security vond de zes kwetsbaarheden in de meest recente versie van ICQ, 2003a Pro, en oudere uitvoeringen van het IM-programma. Het bulletin vermeldt niet of de kwetsbaarheden ook voorkomen in ICQ Lite, een afgeslankte versie van dezelfde makers.

ICQ is een immens populaire instant messager, die vooral in Europa op veel aanhang kan rekenen. Het bedrijf erachter, Mirabilis, is eigendom van America Online, heeft ook het totaal verschillende AOL Instant Messenger (AIM) ontwikkeld. Op download.com, een van de voornaamste downloadkanalen op het internet, is de laatste versie van ICQ 228,5 miljoen keer opgehaald. Lees meer artikels over : icq, im, instant

bron: ZDNet