Desbordamiento de búfer en Trillian
Se ha anunciado la existencia de una vulnerabilidad en Trillian que permitía a usuarios maliciosos llegar a comprometer los sistemas afectados.
Trillian es un programa que en los últimos tiempos ha alcanzado grandes cuotas de usuarios al unificar en una única aplicación el acceso a diferentes sistemas de mensajería instantánea como ICQ, MSN, AOL Instant Messenger (AIM), Yahoo Messenger y también IRC.
La vulnerabilidad está provocada por un desbordamiento de búfer en el tratamiento de cabeceras de respuesta HTTP/1.1. El problema se encuentra presente en diversos componentes de la aplicación, aunque en la versión 3 se eliminó mayoritariamente Trillian 3.1 todavía contiene dos desbordamientos de búfer en el componente Yahoo Messenger.
Este problema puede ser explotado para provocar un desbordamiento de búfer y ejecutar código arbitrario al enviar una respuesta HTTP/1.1 maliciosamente construida. Para explotar la vulnerabilidad el atacante deberá controlar el servidor al que se conecte el cliente Trillian o bien emplear el método de “hombre en el medio”.
Las vulnerabilidades se han anunciado en los componentes AIM, Yahoo, MSN y RSS en Trillian 2.0. También se encuentra presente en al menos dos puntos en yahoo.dll de Trillian versión 3.1.