Des millions d’utilisateurs AOL affectés par une faille de messagerie instantanée

L’éditeur de solutions de sécurité d’entreprise Core Security Technologies a découvert une vulnérabilité qui pourrait affecter des millions d’utilisateurs de la messagerie instantanée d’AOL. En exploitant cette faille, les pirates pourraient exécuter du code arbitraire sur la machine d’un utilisateur et exploiter les bugs d’Internet Explorer sans l’intervention de l’utilisateur.

Core Security a informé AOL du problème, en signalant toutefois que les détails de la vulnérabilité ont déjà commencé à circuler sur plusieurs sites de suivi de bugs.

« Cette vulnérabilité pose un risque de sécurité important pour des millions d’utilisateurs AIM », explique Iván Arce, directeur technologique de Core Security. « Nous avons informé AOL de cette menace en leur fournissant des détails techniques complets, mais la vulnérabilité a déjà émergé sur plusieurs sites publics de suivi de bugs. Nous pensons donc qu’il est nécessaire d’apporter sans attendre des détails précis sur ce problème pour permettre aux utilisateurs d’AIM et aux organisations de prendre conscience de cette menace, d’en mesurer les risques et de prendre des mesures appropriées. « 

La faille qui affecte AIM 6.1, 6.2 bêta, AIM Pro et AIM Lite expose les postes de travail qui utilisent ces clients de messagerie instantanée ainsi que leurs utilisateurs à plusieurs attaques immédiates à haut risque.

Tous les clients AIM vulnérables prennent en charge des modèles de messages améliorés qui permettent aux utilisateurs d’utiliser le langage HTML pour personnaliser leurs messages textes avec des formats ou des couleurs de police spécifiques.

Les clients AIM vulnérables utilisent un contrôle serveur Internet Explorer pour restituer ce contenu HTML.

Mais étant donné que ces données ne sont pas vérifiées avant d’être restituées à l’écran, un pirate peut très bien introduire du code HTML malveillant dans un message instantané pour exploiter directement les bugs d’Internet Explorer sans l’intervention de l’utilisateur.

AOL a reconnu l’existence du problème et a invité les utilisateurs à télécharger la dernière version du client bêta AIM ou à utiliser son service en ligne AIM Express jusqu’à ce que le problème soit résolu.

Traduction de l’article IM flaw hits millions of AOL userspar Ian Williams de Vnunet.com en date du 2 octobre 2007