В Aim обнаружена свежая критическая уязвимость

27.09.07, Чт, 11:26, Мск

Через день после того, как AOL устранила уязвимость в AOL Instant Messenger (AIM) к удаленному внедрению JavaScript, исследователь Авив Рафф (Aviv Raff) нашел способ обхода патча.

AOL подтвердила открытие г-на Раффа. Он проверил концептуальный эксплойт на последней бета-версии 6.5, и эксплойт не сработал. Однако, изменив код, исследователь воспроизвел ту же самую уязвимость. В патче было добавлено фильтрование только отдельных html-тэгов и атрибутов, но основная причина уязвимости не была исправлена, пишет Eweek.com.

Уязвимость вызвана отсутствием фильтрации html-тэгов, поступающих в окно оповещения. Таким образом, злоумышленник может выполнить произвольный JavaScript-код на компьютере жертвы, отправив специально сформированное сообщение.

http://internet.cnews.ru/news/line/index.shtml?2007/09/28/268156

на следующий день...
28.09.07, Пт, 11:48, Мск

AOL отрицает уязвимость AIM

AOL отрицает заявление израильского специалиста по информационной безопасности Авива Раффа (Aviv Raff) о том, что уязвимость в AIM к выполнению произвольного JavaScript не была устранена до конца. В четверг днем компания заявила, что устранила ошибку в бета-версии клиента (6.5 beta) и установила патч на сервере.

В среду г-н Рафф сообщил, что уязвимость была устранена лишь частично. Хотя концептуальный эксплойт больше не работал, исследователю удалось воспроизвести ситуацию удаленного выполнения JavaScript через окно оповещения в «локальной зоне», заменив тэги, сообщает Searchsecurity.com.

Представитель AOL Эрин Гиффорд (Erin Gifford) заверил, что пользователям не о чем беспокоиться. Финальная версия AIM 6.5 выйдет в середине октября.

делай выводы - ничто не идеально...ищите...и найдете...уязвимость))