In Security Bulletin #22 van rootshell wordt een kritiek beveiligingslek in de ICQ-chatdienst beschreven. De ontdekking is gedaan door Zack, die vaststelde dat de Mirabilis-servers een buffer-overflow vertonen wanneer er een wachtwoord van 9 tekens of meer wordt verzonden.
De kern van het probleem:
- Officiële clients beperken wachtwoorden tot maximaal 8 tekens.
- Linux-klonen doen dit niet, waardoor een langer wachtwoord de server-buffer laat overlopen.
- Hierdoor kan een aanvaller inloggen op elk willekeurig account (mits de gebruiker offline is) door simpelweg een wachtwoord van 9 tekens (bijv.
123456789) te gebruiken.
Dit stelt de aanvaller in staat om berichten en URL's te verzenden en ontvangen als de betreffende gebruiker, wat leidt tot volledige compromittering van het account.
[rootshell] Security Bulletin #22
01. ICQ Wachtwoordverificatie Bug
Het lijkt erop dat ICQ opnieuw een bug heeft. Deze melding is binnengekomen van een van onze gebruikers en is inmiddels bevestigd door Rootshell.
***
Van: zack <zallison@rice.edu> Datum: donderdag 13 augustus 1998 Onderwerp: Groot beveiligingslek in ICQ
Bericht:
Ik ontwikkel een Linux ICQ-kloon. Nadat een van mijn gebruikers zijn wachtwoord verkeerd had ingevoerd, merkte ik dat hij toch toegang kreeg tot zijn account. Na verder onderzoek heb ik het volgende ontdekt:
Het is mogelijk om bij de ICQ-servers in te loggen als een willekeurige gebruiker zonder diens wachtwoord te kennen. Dit kan leiden tot diverse vormen van compromittering. Dit is geen eenvoudige spoofing.
Hoe het werkt
De Mirabilis-server gebruikt een wachtwoord van 8 tekens. De officiële clients voeren een bereikcontrole (range checking) uit en verzenden alleen wachtwoorden van 8 tekens of minder. Linux-klonen, waaronder de mijne, doen dit niet.
Wanneer er een wachtwoord van 9 tekens of meer wordt verzonden, treedt er een buffer-overflow op, waardoor inloggen mogelijk wordt.
De exploit
- Download een willekeurige ICQ-kloon (bijvoorbeeld:
http://hookah.ml.org/zicq).
- Stel de UIN in op de UIN van het doelwit.
- Stel het wachtwoord in op
123456789 (net groot genoeg om de buffer te laten overlopen).
- Start het ICQ-programma.
Indien succesvol, zal het programma inloggen en verbinden als die gebruiker. Eventuele wachtende (offline) berichten worden vervolgens aan jou geleverd. Je kunt nu berichten en URL's verzenden en ontvangen, voor zover de client dit toestaat.
Opmerkingen
- Dit is geen spoofing; je bent daadwerkelijk ingelogd als de geselecteerde UIN. In tegenstelling tot spoofing kun je hierdoor ook berichten ontvangen.
- Deze methode werkt voor alle UIN's, zolang er niet al iemand met die UIN is ingelogd.
Mirabilis / AOL moet dit probleem dringend oplossen.
Zack
[rootshell] Security Bulletin #22
01. ICQ Wachtwoordverificatie Bug
Het lijkt erop dat ICQ opnieuw een bug heeft. Deze melding is binnengekomen van een van onze gebruikers en is inmiddels bevestigd door Rootshell.
***
Van: zack <zallison@rice.edu> Datum: donderdag 13 augustus 1998 Onderwerp: Groot beveiligingslek in ICQ
Bericht:
Ik ontwikkel een Linux ICQ-kloon. Nadat een van mijn gebruikers zijn wachtwoord verkeerd had ingevoerd, merkte ik dat hij toch toegang kreeg tot zijn account. Na verder onderzoek heb ik het volgende ontdekt:
Het is mogelijk om bij de ICQ-servers in te loggen als een willekeurige gebruiker zonder diens wachtwoord te kennen. Dit kan leiden tot diverse vormen van compromittering. Dit is geen eenvoudige spoofing.
Hoe het werkt
De Mirabilis-server gebruikt een wachtwoord van 8 tekens. De officiële clients voeren een bereikcontrole (range checking) uit en verzenden alleen wachtwoorden van 8 tekens of minder. Linux-klonen, waaronder de mijne, doen dit niet.
Wanneer er een wachtwoord van 9 tekens of meer wordt verzonden, treedt er een buffer-overflow op, waardoor inloggen mogelijk wordt.
De exploit
- Download een willekeurige ICQ-kloon (bijvoorbeeld:
http://hookah.ml.org/zicq).
- Stel de UIN in op de UIN van het doelwit.
- Stel het wachtwoord in op
123456789 (net groot genoeg om de buffer te laten overlopen).
- Start het ICQ-programma.
Indien succesvol, zal het programma inloggen en verbinden als die gebruiker. Eventuele wachtende (offline) berichten worden vervolgens aan jou geleverd. Je kunt nu berichten en URL's verzenden en ontvangen, voor zover de client dit toestaat.
Opmerkingen
- Dit is geen spoofing; je bent daadwerkelijk ingelogd als de geselecteerde UIN. In tegenstelling tot spoofing kun je hierdoor ook berichten ontvangen.
- Deze methode werkt voor alle UIN's, zolang er niet al iemand met die UIN is ingelogd.
Mirabilis / AOL moet dit probleem dringend oplossen.
Zack
Groetjes,