Hacker nutzen AOL-Messenger zur "Fernwartung"

Die Sicherheitsexperten von Core Security haben eine Sicherheitsmeldung veröffentlicht, in der auf eine äußerst kritische Lücke im AOL Instant Messenger (AIM) hingewiesen wird. Ein Angreifer könnte beliebige Befehle auf dem Rechner des Opers ausführen. Hintergrund: Für die Darstellung der eingehenden Nachrichten von anderen Nutzern verwendet AOL Microsofts HTML-Bibliothek mshtml.dll. Die eingehenden Daten werden nicht ausreichend geprüft und können dadurch Code beinhalten, der auf dem Rechner mit AIM ausgeführt wird. Das Ganze geschieht in der lokalen Zone, so dass der Angreifer die vollen Zugriffsrechte auf dem PC des Opfers hat.

Die Empfänger der manipulierten Nachricht müssen die eingehende Nachricht nicht einmal öffnen, allein der Empfang reicht aus, um den eingebetteten Code auszuführen. Durch Bilder, die in eine Nachricht eingebunden werden können, lässt sich sogar in JavaScript geschriebener Code ausführen. Core Security demonstriert, wie sich dadurch Eingabefelder erzeugen lassen, die einen Benutzernamen und das dazugehörige Passwort abfragen.

AOL hat das Problem inzwischen für die AIM-Versionen 6.1 und 6.2 bestätigt, sowohl in der Pro- und Lite-Edition. Auch von den Entwicklern wird die Sicherheitslücke als kritisch eingestuft. Als erste Gegenmaßnahme hat man die serverseitige Filterung der Nachrichten verbessert, allerdings soll sich dieser Schutzschild umgehen lassen. Im Oktober wird eine neue Version des AIM veröffentlicht, die diesen Fehler nicht mehr enthalten soll. Bis dahin empfiehlt AOL die Nutzung der aktuellen Beta-Version, die ebenfalls nicht betroffen ist.

Weitere Informationen: Sicherheitsmeldung von Core Security
Download: Aktuelle Beta des AIM