～6つ発見された脆弱性のうち、深刻なものは2つ

ICQに任意のコードを実行できる深刻なセキュリティホール

■URL
http://www.coresecurity.com/common/showdoc.php?idx=315

　米国のセキュリティ関連企業Core Security Technologies（以下、CST）は、インスタントメッセンジャー「ICQ」に6つのセキュリティホールがあると警告した。対象となるバージョンは、「ICQ Pro 2003a」以前のもの。

　CSTによると、同社が発見した計6件の脆弱性のうち深刻なものは2件で、これが悪用された場合、悪意のある攻撃者がユーザーのPC上で任意のコードを実行できるという。

　発見された6つの脆弱性の内訳は、ICQのメール機能に関連するものが3件。そのほかに、自動アップデートに関するもの、ICQがメッセージウィンドウ内に表示する広告に関するもの、GIFファイルの処理に関するものとなっている。

　メール機能では、POP3クライアント機能に脆弱性が存在し、悪意のあるユーザーが細工を施したメールヘッダを送ることによって、任意のコードが実行されるという。また、自動アップデート機能の欠陥では、攻撃者が悪意あるソフトウェアをユーザーのマシンにインストールできてしまう。

　CSTでは、ICQに3月11日以降数回にわたってICQに問い合わせているものの、返答はないという。また、ICQよりこの脆弱性を修正したバージョンは現時点で提供されていない。

◎関連記事
■Windows版の「ICQ」にバッファオーバーフローの問題が発見

(2003/5/7)

[Reported by otsu-j@impress.co.jp]