 |
11:29 [Андрей Шуклин]
Yahoo – переполнение буфера
В пятницу Yahoo выпустила новый патч для Instant Messenger и Yahoo Chat, предотвращающий возможность переполнение буфера. При попытке войти в сеть пользователям предлагается загрузить обновления, которые выложены на сайте компании.
Переполнение буфера – типичная уязвимость ПО, написанного на С и С++. Подобные проблемы могут возникать, когда в приложении присутствуют стеки (ячейки памяти) фиксированной длины, в которые записываются данные, полученные из вне. В случае, когда значение, записываемое в буфер, превышает его размер, программа может выполнить какую-либо команду, если умело подобрать массив данных.
Но а чем грозит исполнение произвольной команды, знают, наверное, все. При самых безобидных или неумелых действиях хакера, ваш IM просто закроется, поругавшись на ошибку при исполнении. Однако, если злоумышленник всерьез захочет навредить вам, то он может добиться загрузки какой-нибудь программы из Интернета, которая или снесет систему или сотрет все картинки на вашем компьютере.
Узнав об уязвимости, Yahoo отправила в пятницу все детали в рассылку Bugtraq и в центр компьютерной помощи Carnegie Mellon’s CERT
