| |
VSantivirus No. 1329 Año 8, jueves 26 de febrero de 2004
Desbordamientos remotos en Trillan
http://www.vsantivirus.com/vul-trillian.htm
Por Marcelo A. Rodriguez
marcelo-ar@videosoft.net.uy
Trillan es un popular cliente de mensajería instantánea, que se puede conectar a las principales redes de chat y mensajería, como Yahoo!, ICQ, AIM, MSN e IRC.
Stefan Esser ha descubierto dos vulnerabilidades en Trillan, las que pueden ser explotadas por gente malintencionada para comprometer el sistema de un usuario.
Dichas vulnerabilidades poseen las siguientes características:
1. Desbordamiento de entero en AIM/Oscar DirectIM
Existe un desbordamiento de entero (integer overflow) en el manejo del protocolo "AIM/Oscar" (propietario de AOL Instant Messenger), que se produce al asignar memoria para paquetes DirectIM.
Esto se puede explotar para corromper el "heap" mediante el envío de paquetes DirectIM especialmente malformados al usuario atacado (el término HEAP indica una porción de memoria disponible para un programa, también llamada área de memoria dinámica. El "heap" es el área en que la asignación y desasignación de memoria ocurre en orden aleatorio).
2. Desbordamiento al analizar paquetes de Yahoo
Cada paquete de Yahoo Messenger (YMSG), consiste de un encabezado y una lista de claves con sus valores asociados.
Un error de límite (boundary error), al analizar paquetes YMSG, puede resultar en un desbordamiento de búfer (buffer overflow).
Esto se puede explotar mediante el envío a un sistema vulnerable, de paquetes YMSG especialmente malformados con un nombre de clave (keyname) sobredimensionado, generando un desbordamiento de stack (stack overflow).
Para explotar este fallo se requiere la habilidad de conducir un ataque del tipo MitM (Man-in-the-Middle).
En un ataque Man-In-The-Middle (Hombre en el medio), el atacante es capaz de leer y posiblemente modificar a voluntad, mensajes entre dos partes, sin permitir a cada una de estas, saber que han sido atacadas. El atacante debe ser capaz de observar e interceptar los mensajes que circulan entre las dos víctimas.
La explotación exitosa de las dos vulnerabilidades mencionadas podría permitir la ejecución de código arbitrario con los privilegios del usuario local, en un sistema vulnerable.
Sin embargo, el descubridor de estos dos fallos aclara que la segunda de las vulnerabilidades, actualmente no puede ser explotada a través de los servidores de Yahoo!, ya que los mismos, ya no permiten el transporte de claves desconocidas. Esto hace improbable la creación de un gusano de amplia difusión que explote este fallo.
Estas vulnerabilidades fueron reportadas en las siguientes versiones:
- Trillian desde versión 0.71 hasta versión 0.74F
- Trillian Pro 1.0
- Trillian Pro 2.0
- Trillian Pro 2.01
El fabricante, Cerulean Studios, fue avisado de estas vulnerabilidades el 19 de febrero de 2004 y el 24 del mismo mes dio solución a dichos fallos mediante nuevas versiones o parches.
Recomendación:
Actualizarse a Trillian 0.74G, Trillian Pro 2.011, o aplicar los parches disponibles en el sitio del fabricante:
http://www.trillian.cc/downloads/
Basado en reportes publicados en:
http://security.e-matters.de/advisories/022004.html
http://secunia.com/advisories/10973/
Glosario
Desbordamiento de búfer (buffer overflow). El búfer es un área determinada en la memoria, usada por una aplicación para guardar ciertos datos necesarios para su funcionamiento. Esta área tiene un tamaño previamente definido en el programa, pero si se envían más bytes de los permitidos, la información sobrepasa los límites impuestos, cayendo en muchos casos sobre partes ejecutables del código principal. Un uso malintencionado de estos datos, puede hacer que esa parte contenga instrucciones preparadas para activar ciertas acciones no pensadas por el programador de la aplicación.
Desbordamiento de entero (integer overflow). Ocurre cuando una variable definida como entera, sobrepasa los valores asignados.
Desbordamiento de stack (stack overflow). La pila (stack), es el espacio de memoria reservada para almacenar las direcciones de retorno en la ejecución de cada rutina y otra información importante para la ejecución de los programas.
(c) Video Soft - http://www.videosoft.net.uy
(c) VSAntivirus - http://www.vsantivirus.com
|
