|
|
Actualización crítica para Yahoo! Messenger
|
| |
VSantivirus No 2468 Año 11, martes 12 de junio de 2007
Actualización crítica para Yahoo! Messenger
http://www.vsantivirus.com/vul-yam-080607.htm
Por Redacción VSAntivirus
vsantivirus@videosoft.net.uy
Yahoo publicó una actualización de seguridad crítica para su software Yahoo! Messenger. La actualización, corrige dos vulnerabilidades que están siendo explotadas maliciosamente.
Según reporta eEye Digital Security, son afectados los componentes YWCUPL.DLL e YWCVWR.DLL de Yahoo!
Messenger, los que son propensos a desbordamientos de búfer cuando manejan datos no comprobados correctamente.
YWCUPL.DLL corresponde a un control ActiveX utilizado por la aplicación para compartir el video de la cámara Web con otros usuarios. YWCVWR.DLL está relacionado con otro control
ActiveX, en este caso utilizado para la visualización por parte del usuario de la imagen de la webcam.
Aunque normalmente ambos archivos solo deberían ser utilizados con las opciones de cámara web, los controles ActiveX correspondientes, erróneamente marcados como seguros, pueden ser explotados maliciosamente para la ejecución de código, sin requerirse ninguna acción extra por parte del usuario con
Yahoo! Messenger instalado en su PC, y por el simple acto de visitar una página especialmente modificada.
Aunque Yahoo! Messenger será actualizado automáticamente, se recomienda a quienes lo utilizan proceder a su rápida implementación, debido al peligro que significa la posibilidad de descarga y ejecución de código al visitarse un sitio Web, como lo demuestra una prueba de concepto publicada por Hispasec (ver "Más información").
Más información:
Yahoo! Webcam ActiveX Controls
http://messenger.yahoo.com/security_update.php?id=060707
Grave vulnerabilidad en Yahoo! Messenger (y prueba de concepto)
http://www.hispasec.com/unaaldia/3152/
Yahoo! Webcam ActiveX Controls Multiple Buffer Overflows
http://research.eeye.com/html/advisories/published/AD20070608.html
Descarga:
http://messenger.yahoo.com/download.php
(c) Video Soft - http://www.videosoft.net.uy
(c) VSAntivirus - http://www.vsantivirus.com
|
 
|
|
