In dem verbreiteten IRC-Client mIRC wurden zwei Pufferüberlauffehler entdeckt, die zur Ausführung von beliebigen Programmcode ausgenutzt werden können.

Betroffene Systeme

• mIRC V5.91 und alle früheren Versionen

Einfallstor
Servernachrichten 001 und NICK

Auswirkung
Ein Angreifer kann beliebigen Code mit den Rechten des mIRC-Benuzers ausführen.

Typ der Verwundbarkeit
buffer overflow bug

Gefahrenpotential
mittel
(Hinweise zur Einstufung des Gefahrenpotentials.)

Beschreibung
Beiden Fehlern liegt ein ähnliches Muster zugrunde, so daß an dieser Stelle das Problem nur am Beispiel des NICK-Kommandos erklärt wird. mIRC geht davon aus, daß der Nickname, den der Server übergibt, nicht länger als 100 Zeichen ist. Der aktuelle Nick und der alternative Nick wird daher in einem statischen Feld gehalten. Wenn nun ein Nickname mit mehr als 200 Zeichen von Server zurückgeliefert wird, so wird ein Schlüsselwert (der Index zum aktuellen Nickname) überschrieben.
Da man dieses Feld überschreiben kann, kann man nun mit einer Genauigkeit von 100 Bytes Daten in den Speicher schreiben. Da andererseits mIRC fast 1000 Bytes als Eingabe in den Speicher zuläßt, hat man ausreichend Platz, um beliebigen Code darin unterzubringen.
Der praktische Vorgang der Ausnutzung setzt voraus, daß man mit einem böswilligen Server verbunden ist. Dies kann jedoch durch eine kleinere Schwachstelle im MS IE/Outlook unbeabsichtigt geschehen. Eine arglistige Webseite kann einen HTML-Tag in der folgenden Form:

<iframe src="irc://irc.hackme.com:6666">

Gegenmaßnahmen

• Installation der aktuellen Version mIRC v6.0
• Eine Reaktion von Microsoft zur Schwachstelle im IE/Outlook liegt zur Zeit noch nicht vor.

Hinweis
Die in diesem Text enthaltene Information wurde für die Mitglieder der Universität Stuttgart recherchiert und zusammengestellt. Die Universität Stuttgart übernimmt keinerlei Haftung für die Inhalte. Dieser Artikel darf ausschließlich in unveränderter Form und nur zusammen mit diesem Hinweis sowie dem folgenden Copyrightverweis veröffentlicht werden. Eine Veröffentlichung unter diesen Bedingungen an anderer Stelle ist ausdrücklich gestattet.

Copyright © 2022 RUS-CERT, Universität Stuttgart, https://cert.uni-stuttgart.de/