Adium: Sicherheitslücke im Mac-OS-X-Messenger

Der in Berlin ansässige Sicherheitsexperte Levent "Noptrix" Kayan macht in Form von einem öffentlichen Security Advisory auf eine kritische Schwachstelle in dem Instant-Messenger namens Adium für Mac OS X aufmerksam. Unter bestimmten Umständen soll es möglich sein, aus der Ferne im Kontext des Chatpartners Javascript-Code zur Ausführung zu bringen. Technisch liegt dem Ganzen offenbar eine nicht explizite Bereinigung von Dateinamen zugrunde.

Den offiziellen Bekanntmachungen zufolge handelt es sich um eine Lücke im Zusammenhang mit einer Anfälligkeit für HTML/Javascript-Injection. Wegen der unzureichenden Prüfung der Dateinamen soll sich überdies eine Cross-Site-Scripting-Lücke (XSS) ergeben.

Wie in den Mitteilungen von Noptrix üblich, hat der Sicherheitsexperte auch in diesem Fall wieder ein Proof of Concept mit zugehörigem Payload veröffentlicht. Bislang haben die Entwickler von Adium noch nicht auf diese Problematik reagiert.

Levent Kayan war es auch, der in den letzten Wochen auf kritische XSS-Schwachstellen im Instant-Messenger ICQ und in der VoIP-Software Skype aufmerksam machte.