No acepte invitaciones de webcam en MSN Messenger
 

MSN Messenger falla al intentar manejar adecuadamente un streams de webcam, lo que podría ser utilizado por un atacante remoto para ejecutar código arbitrario en nuestro PC.

"Streaming" es la técnica utilizada para transmitir datos de tal modo que estos puedan ser procesados en nuestra computadora como un flujo continuo y constante.




MSN Messenger es la conocida aplicación de mensajería instantánea de Microsoft, que a partir de la versión 8 ha sido renombrada como Windows Live Messenger.

Windows Live Messenger y algunas versiones de MSN Messenger, soportan el uso de webcams para conferencias de video utilizando técnicas de "streaming". Ambas aplicaciones requieren la interacción con el usuario para establecer una conexión de este tipo.

La vulnerabilidad se produce por un desbordamiento de la memoria dinámica usada por el programa (heap overflow), cuando se procesa una transmisión de video.

Se conoce la existencia pública de un exploit para este problema. Si un ataque tiene éxito, se puede llegar a provocar la ejecución arbitraria de código con los mismos privilegios del usuario actualmente conectado, aunque en algunos casos, el programa solo dejará de responder (denegación de servicio).

Son vulnerables las versiones anteriores de Windows Live Messenger y aquellas versiones de MSN Messenger que soportan webcam.

La vulnerabilidad no afecta a Windows Live Messenger 8.1 (y superiores).

Si usted no puede instalar esta última versión por las características de su equipo o por cualquier otra razón, la única solución para minimizar el peligro es no aceptar invitaciones para el uso de la webcam, sin importar de quién vengan éstas.


Más información:

MSN Messenger Video Conversation Buffer Overflow Vulnerability
[url]http://secunia.com/advisories/26570/[/url]

Vulnerability Note VU#166521
MSN Messenger and Windows Live Messenger webcam stream heap overflow
[url]http://www.kb.cert.org/vuls/id/166521[/url]

CVE-2007-2931 (Common Vulnerabilities and Exposures project)
[url]http://www.cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2007-2931[/url]
[url]http://nvd.nist.gov/nvd.cfm?cvename=CVE-2007-2931[/url]

Vulnerabilidad en MSN Messenger
[url]http://www.enciclopediavirus.com/noticias/verNoticia.php?id=874[/url]


Créditos:

team509


FUENTE : [url]http://www.vsantivirus.com/vul-messenger-cve-2007-2931.htm[/url]