12 ! Sicherheitslücken in GAIM

CereS · Beitrag von **CereS** » 27.01.2004 09:55:19

Hi,

gerade unter heise erschienen

http://www.heise.de/security/news/meldung/44025

Gruß,
Chris

godsmacker · Beitrag von **godsmacker** » 27.01.2004 11:39:59

Ich frage mich nur gerade, ob ich als Nutzer von bitlbee, welches ja bekanntlich auch Teile von Gaim verwendet, davon auch betroffen bin..

CereS · Beitrag von **CereS** » 27.01.2004 11:51:09

ich benutze zwar weder den einen noch den anderen Client, aber habe im Chat hier mal mitgekriegt, dass einige den benutzen.

Es kommt wahrscheinlich drauf an, welche Teile der bitlbee vom Gaim verwendet.. In dem Advisory sind es größtenteils Yahoo Protokoll bugs:

CAN-2004-0005: version 0.75 only, buffer overflows:

[01 - Yahoo Octal-Encoding Decoder Overflow]
[02 - Yahoo Octal-Encoding Decoder Out-Of-Bounds Overflow]
[08 - Quoted Printable Decoder Overflow]
[09 - Quoted Printable Decoder Out-Of-Bounds Overflow]

CAN-2004-0006: 0.75 and earlier, buffer overflows:

[03 - Yahoo Web Cookie Parser Overflow]
[04 - Yahoo Login Page Name Parser Overflow]
[05 - Yahoo Login Page Value Parser Overflow]
[06 - Yahoo Packet Parser Overflow]
[10 - URL Parser Function Overflow]
[12 - HTTP Proxy Connect Overflow]

CAN-2004-0007: 0.74 and earlier, buffer overflows:

[11 - Extract Info Field Function Overflow]

CAN-2004-0008: 0.74 and earlier, integer overflow:

[07 - AIM/Oscar DirectIM Integer Overflow]

Gruß,
Chris

godsmacker · Beitrag von **godsmacker** » 27.01.2004 12:11:49

ceres hat geschrieben:Es kommt wahrscheinlich drauf an, welche Teile der bitlbee vom Gaim verwendet.. In dem Advisory sind es größtenteils Yahoo Protokoll bugs:

[...]
[07 - AIM/Oscar DirectIM Integer Overflow]

Für das Oscar Protokoll verwendet Bitlbee meines Wissens nach die Gaim Implementation. Nur ob ich nun von diesem Fehler betroffen bin weiß ich dennoch noch nicht. :-/
Gibt's schon irgendwelche Exploits mit denen man das testen könnte?

Gruß,
Florian

Majestic · Beitrag von **Majestic** » 10.02.2004 20:59:36

eine gute Newbie Frage waere jetzt, wie bekomm ich den tollen patch installiert.. einfach complieren und fertig?

bzw. andere Frage: Lohnt es sich ueberhaupt?

Gruß
Sven

Beitrag von **feltel** » 10.02.2004 21:07:50

Hast Du schon das Security-Announce DSA-434-1 beachtet? Darin sind die o.g. Lücken imho alle gefixt. Siehe auch http://lists.debian.org/debian-security ... 00029.html