Yahoo publicó una actualización de seguridad crítica para su software Yahoo! Messenger. La actualización, corrige dos vulnerabilidades que están siendo explotadas maliciosamente.

Según reporta eEye Digital Security, son afectados los componentes YWCUPL.DLL e YWCVWR.DLL de Yahoo! Messenger, los que son propensos a desbordamientos de búfer cuando manejan datos no comprobados correctamente.

YWCUPL.DLL corresponde a un control ActiveX utilizado por la aplicación para compartir el video de la cámara Web con otros usuarios. YWCVWR.DLL está relacionado con otro control ActiveX, en este caso utilizado para la visualización por parte del usuario de la imagen de la webcam.

Aunque normalmente ambos archivos solo deberían ser utilizados con las opciones de cámara web, los controles ActiveX correspondientes, erróneamente marcados como seguros, pueden ser explotados maliciosamente para la ejecución de código, sin requerirse ninguna acción extra por parte del usuario con Yahoo! Messenger instalado en su PC, y por el simple acto de visitar una página especialmente modificada.

Aunque Yahoo! Messenger será actualizado automáticamente, se recomienda a quienes lo utilizan proceder a su rápida implementación, debido al peligro que significa la posibilidad de descarga y ejecución de código al visitarse un sitio Web, como lo demuestra una prueba de concepto publicada por Hispasec (ver "Más información").

Descarga:

http://messenger.yahoo.com/download.php

Fuente

arag