El programa, sin duda el más popular utilizado para la mensajería
instantánea, sufre de un fallo muy parecido al que hace unas semanas se
anunció en Yahoo! Messenger, otro popular cliente de mensajería.

Microsoft
MSN Messenger, llamado Live Messenger desde su versión 8.x, apenas
necesita presentación. Es el cliente de mensajería instantánea más
usado desde que Windows XP lo incorporara por defecto en su instalación
y desbancara al no menos popular ICQ, rey de la mensajería en los
primeros años de Internet. El programa no ha sufrido demasiados
problemas de seguridad en su versión 7.x, tampoco su versión 6.x
resultó especialmente problemática.

Sí que ha servido para la
propagación de troyanos a través de ingeniería social (enlaces en la
conversación creados automáticamente y aparentemente originados por
algún contacto), también para lo que se dio en llamar SPIM (SPAM over
Instant Messenger) e incluso para el intento de propagación de adware
(winfixer) a través de las pancartas de publicidad asociada que ofrece
el programa.

El fallo publicado se debe a un error en el manejo
de conversaciones de vídeo. Si se envían datos especialmente
manipulados, un atacante podrá provocar un desbordamiento de heap y
ejecutar código arbitrario si la víctima acepta una invitación de
cámara web. Este fallo es muy similar al que se detectó a mediados de
agosto en Yahoo! Messenger, competencia directa de Microsoft en
mensajería instantánea.

El fallo se ha encontrado en versiones
7.x y anteriores. La versión 8.1 parece que no se ve afectada por este
problema, lo que mitiga en parte el potencial impacto de la
vulnerabilidad al ser la versión mayoritariamente usada. No existe
parche oficial. Se recomienda no aceptar sesiones de cámara web no
solicitadas y actualizar a la última versión 8.1 desde http://get.live.com/messenger/.

Los
usuarios de Windows 2000 lo tienen más complicado. Messenger 8.x no se
instalará en esta versión del sistema operativo, por lo que no podrán
actualizar hasta que aparezca el parche correspondiente. El descubridor
ha hecho público además un exploit para aprovechar el fallo que dice
funcionar para la versión China de Windows 2000, pero que con algunas
modificaciones, conseguiría ejecutar código en otros idiomas. Microsoft
no ha realizado aún comunicado alguno al respecto.

vnunet.es