核心安全技術(shù)公司在對幾個(gè)公共安全郵件列表發(fā)出的公告中描述了ICQ軟件易受攻擊的缺陷。盡管該公司共發(fā)現(xiàn)了六處缺陷，但是只有兩個(gè)存在嚴(yán)重隱患，因?yàn)樗鼈兛梢宰尮粽咴诒还舻碾娔X上運(yùn)行程序。
核心公司技術(shù)總監(jiān)Arce說，然而，與每個(gè)缺陷相連的危險(xiǎn)在于，這種危險(xiǎn)高度地依賴于ICQ所采用的環(huán)境。通常我們在公告中不做任何假設(shè)，因?yàn)槲覀儾徽J(rèn)為以一種措施應(yīng)對所有問題的方案是有效的。
有缺陷的ICQ PRO 2003a 客戶端程序是美國在線的ICQ即時(shí)信息軟件的最新版，在一家主要網(wǎng)站上它已被下載了2.28億次。去年，美國在線公司提供了所謂的ICQ Lite壓縮版。核心公司的公告說，后者沒有缺陷問題。
美國在線公司的ICQ部門在周一沒有對所謂的缺陷發(fā)表任何評論。安全研究人員還指出，他們還發(fā)現(xiàn)了導(dǎo)致ICQ安全隱患的問題。
核心安全公司稱，有三個(gè)缺陷，其中包括一個(gè)具重大威脅的缺陷，它發(fā)生在ICQ軟件的電郵程序中，如果攻擊者能夠模擬用戶的電郵服務(wù)器，電郵組件缺陷可讓攻擊者采用軟件處理電郵的方法讓電郵程序運(yùn)行程序。
其他所謂危急的缺陷發(fā)生在ICQ軟件可自動(dòng)升級的功能上。因?yàn)樽詣?dòng)升級組件沒有足夠安全措施，攻擊者可以假裝發(fā)送合法的升級信息，而此時(shí)這個(gè)升級信息實(shí)際上是一個(gè)惡意代碼。
ChinaByte(e.chinabyte.com)
