Cerulean schließt Sicherheitslücke im Trillian-Messenger

Idefense hat auf eine Sicherheitslücke im Internet-Relay-Chat-Modul (IRC) des Multi-Instant-Messenger-Programms Trillian hingewiesen. Die Schwachstelle in der Version 3.1.5.0 erlaube es Angreifern, auf den betroffenen Systemen Schadcode auszuführen und Chat-Konversationen mitzulesen.

Bei der Verarbeitung spezieller PING-Befehle mit UTF-8-Zeichen schickt der Trillian-IRC-Client laut Idefense eine unvollständige Antwort an den Server, so dass die folgende Zeile an einen Angreifer versendet werden kann.

Zudem gibt es Probleme, wenn ein Nutzer eine URL mit einer langen UTF-8-Zeichenkette in das IRC-Chat-Fenster kopiert. Der Vorgang kann einen Pufferüberlauf auslösen, der die Ausführung von Schadcode ermöglicht. Einen ähnlichen Effekt sollen IRC-Nachrichten haben, die ein Font-Face-HTML-Tag mit langen UTF-8-Zeichenfolgen enthalten.

Trillian-Entwickler Cerulean hat bereits auf die Sicherheitswarnung reagiert und die Schwachstellen geschlossen. Die bereinigte Version 3.1.5.1 steht ab sofort zum Download bereit.