17.01.2006 10:42
Kritisches Sicherheitsleck in AOL-Zugangssoftware [Update]
Durch ein fehlerhaftes ActiveX-Control in AOLs You've-Got-Pictures-Software könnten Angreifer etwa durch manipulierte Webseiten einen Pufferüberlauf auslösen, der das Einschmuggeln und Ausführen von beliebigem Code auf das System erlaubt. Das You've-Got-Pictures-Findermodul YGPPicFinder.dll behandelt lange Zeichenketten nicht korrekt, wodurch der Pufferüberlauf auftreten kann.
Betroffen sind die Software-Versionen 8.0, 8.0+ sowie 9.0 Classic von AOL. Das fehlerhafte ActiveX-Control wurde auch von der You've-Got-Pictures-Webseite bis 2004 verteilt. Zur Behebung des Fehlers rät das FrSIRT, auf AOL 9.0 Optimized oder AOL 9.0 Security Edition umzusteigen oder einen Hotfix anzuwenden.
[Update]:
Laut Tobias Riepe von AOL Deutschland sind die deutsche Version 9.0 der AOL-Software sowie die deutsche Fassung des Fotocenters nicht von dem Problem betroffen.
Siehe dazu auch:
(dmk)
- AOL "YGP Picture Finder Tool" ActiveX Control Buffer Overflow Vulnerability vom FrSIRT
- Download von AOL 9.0 Optimized oder AOL 9.0 Security Edition
- Download des Hotfixes
Unsere Entdeckung, dass via Skype verschickte URLs von Microsoft besucht werden, hat für einigen Aufruhr gesorgt. Mittlerweile liegen etwas mehr Informationen dazu auf dem Tisch. 
Die aktuelle BKA-Trojaner sperrt nicht nur den Rechner, sondern legt auch Bilder mit Kinderpornografie auf dem System ab. Mit Desinfec't kann man diesen Unrat aufspüren und beseitigen. 
Der Krypto-Experte Karsten Nohl kritisiert die Absenkung des Schutzniveaus für Steuer-, Sozial- und Gerichtsdaten im Rahmen der gesetzlichen Anpassungen für De-Mail. 
Wer verhindern will, dass Nutzer auf fremde Kalender zugreifen oder eigenen PHP-Code in den Server einschleusen, sollte baldmöglichst auf eine der aktuellen Versionen umsteigen. 
Die Mozilla-Entwickler haben zahlreiche Sicherheitslöcher in Firefox und Thunderbird gestopft. Durch eine kann ein Angreifer, der bereits einen Fuß in der Tür hat, an Systemrechte gelangen. 
