L’éditeur de solutions de sécurité d’entreprise Core Security Technologies a découvert une vulnérabilité qui pourrait affecter des millions d’utilisateurs de la messagerie instantanée d’AOL. En exploitant cette faille, les pirates pourraient exécuter du code arbitraire sur la machine d’un utilisateur et exploiter les bugs d’Internet Explorer sans l’intervention de l’utilisateur.
Core Security a informé AOL du problème, en signalant toutefois que les détails de la vulnérabilité ont déjà commencé à circuler sur plusieurs sites de suivi de bugs.
« Cette vulnérabilité pose un risque de sécurité important pour des millions d’utilisateurs AIM », explique Iván Arce, directeur technologique de Core Security. « Nous avons informé AOL de cette menace en leur fournissant des détails techniques complets, mais la vulnérabilité a déjà émergé sur plusieurs sites publics de suivi de bugs. Nous pensons donc qu’il est nécessaire d’apporter sans attendre des détails précis sur ce problème pour permettre aux utilisateurs d’AIM et aux organisations de prendre conscience de cette menace, d’en mesurer les risques et de prendre des mesures appropriées. «
La faille qui affecte AIM 6.1, 6.2 bêta, AIM Pro et AIM Lite expose les postes de travail qui utilisent ces clients de messagerie instantanée ainsi que leurs utilisateurs à plusieurs attaques immédiates à haut risque.
Tous les clients AIM vulnérables prennent en charge des modèles de messages améliorés qui permettent aux utilisateurs d’utiliser le langage HTML pour personnaliser leurs messages textes avec des formats ou des couleurs de police spécifiques.
Les clients AIM vulnérables utilisent un contrôle serveur Internet Explorer pour restituer ce contenu HTML.
Mais étant donné que ces données ne sont pas vérifiées avant d’être restituées à l’écran, un pirate peut très bien introduire du code HTML malveillant dans un message instantané pour exploiter directement les bugs d’Internet Explorer sans l’intervention de l’utilisateur.
AOL a reconnu l’existence du problème et a invité les utilisateurs à télécharger la dernière version du client bêta AIM ou à utiliser son service en ligne AIM Express jusqu’à ce que le problème soit résolu.
Traduction de l’article IM flaw hits millions of AOL userspar Ian Williams de Vnunet.com en date du 2 octobre 2007
Microsoft lance Phi-3-mini, un petit modèle de langage (SLM) qui s'adresse aux entreprises ne disposant…
Quelle part d’incertitude faut-il accepter dans la mise en conformité des IA avec le RGPD…
Microsoft a dévoilé les prix des mises à jour de sécurité étendues pour Windows 10.…
Docaposte a sélectionné une douzaine de spécialistes français pour créer un Pack cybersécurité spécialement étudié…
La Surface Pro 10 sera disponible le 9 avril en France. Passage en revue de…
Que réserve Office 2024 ? Une première version de test officielle sera disponible en avril.…