デンマークのSecuniaは18日、「Yahoo! Messenger」に2つの脆弱性があると公表した。いずれも危険度は5段階の下から2番目“Less critical”で、「6.0.0.1921」未満のバージョンで影響を受ける。なお、日本語版の最新ベータ版は「6.0.0.1702」で、ヤフーによれば「22日にも修正バージョンを提供する予定」だという。
1つ目の脆弱性は、長い名前のファイルを転送した際にファイル名が全て表示されないため、ファイル名を偽装できるというもの。拡張子を表示しない標準設定のままだと、脆弱性を悪用されてしまう。
2つ目の脆弱性は、「Program Files」にインストールしたYahoo! Messengerにおいて権限の上昇が発生するというもの。接続テストの段階で同ソフトの「Audio Setup Wizard」が「ping.exe」を起動してしまうことが原因で、Yahoo! Messengerのディレクトリに悪意のあるping.exeが設置されることによって、サウンド設定画面を表示した時に任意のコードが実行される可能性がある。ただし、この脆弱性は、Program Files以外がインストールフォルダであれば、この脆弱性は発生しないとしている。
関連情報
■URL
セキュリティアドバイザリ(ファイル形式の偽装、英文)
http://secunia.com/advisories/13712/
セキュリティアドバイザリ(権限の上昇、英文)
http://secunia.com/advisories/11815/
Yahoo! Messenger(英語版)
http://messenger.yahoo.com/
Yahoo!メッセンジャー
http://messenger.yahoo.co.jp/
■関連記事
・ 対戦ゲームやカスタマイズ機能を拡充したYahoo!メッセンジャーベータ版(2005/01/24)
( 鷹木 創 )
2005/02/21 20:38
- ページの先頭へ-
|