[HaBo]

brain21

Anzeige

Ich wünsche allen Lesern einen wundervollen Abend,
mal angenommen ich habe einen Exploit gefunden, mit denen ich andere ICQ 6 User mit neusten Updates auf Knopfdruck abschiessen kann und möglicherweise auf den anderen Maschinen auch Code ausführen könnte, wo soll ich damit hin? An wem soll ich mich wenden? Was wäre die intelligenteste Vorgehensweise? Ich war noch nie zuvor in so einer Situation und bin gerade sehr verwirrt und aufgeregt... Ich meine das ist eine schwerwiegende Information und ich habe Angst, dass es in falsche Hände gerät und verfolge eigentlich die Absicht, dass diese Lücke schnellstmöglichst geschlossen wird.
Habe bereits versucht Kontakt mit ICQ Ltd. aufzunehmen und eine Mail an heise geschickt. Aber bisher habe ich von beiden Seiten kein Feedback bekommen (ist ja auch Wochenende...).

Hoffe hier findet sich jemand, der soetwas schonmal gemacht hat... :^)

EDIT: gelöst: http://www.heise.de/security/Kritisc...meldung/104268

Danke an alle!

Elderan

Hallo,
zuerst würde ich es an ICQ Ltd. senden und etwas warten, wenn nichts passiert diese Lücke in der bugtraq veröffentlichen.
Wobei ich mir nicht vorstellen könnte, dass Heise Security an soetwas nicht intressiert wäre

xeno

schick es doch einfach an eine bekannte exploit seite. wenn sich das verbreitet, dann wird auch schnell was dagegen gemacht. quelltext mitliefern wäre hilfreich.

__________________
http://www.thehappy.de/~xeno/
http://www.blogthon.de/

Oi!Alex

wabisabi

Gulliver

Vergiss ICQ, sende ihn mir

Heinzelotto

verdammt, warum muss ich immer zu spät kommen, das wollte ich auch gerade sagen

+++ATH0

Ein Pointer zu der interessanten Stelle würde mir reichen.

Du kannst ja den ICQ Entwicklern eine Frist setzen, danach schreibste ein kleines Advisory für das HaBo.

SUID:root

Wieviel soll er kosten? *wink*

Ansonsten würd ich auch ICQ kontaktieren und danach, mit einer kurzen Frist von ein paar Tagen, veröffentlichen.

root

2Bios

Ich würde ihn sofort auf irgendeiner bekannten Seite releasen und den Exploit auf der Stelle ausnutzen, um den Mirabilis ICQ Nutzern mal ordentlich aufs Maul zu hauen. Irgendwie muss man diese Leute ja von der Hässlichkeit (in allen Richtungen) dieses Programm hinweisen und dies wäre ein weiterer Weg. :]

brain21

Ein herzliches Dankeschön für eure Antworten.

Ich wurde von einer mehr oder weniger netten Person angeschrieben, die gewisse administrative Rechte bei ICQ hat. Man hat mich drum gebeten jegdliche Informationen von meinem Blog über diese Lücke zu entfernen, da es gegen die Nutzerbestimmungen von ICQ verstoße (ja, es stand in meinem Blog drinne; nein, ich veröffentliche hier nicht die Adresse ;^] ). Man hat mich darüber informiert, dass das Problem bereits bekannt wäre und es nicht nur die einzigste Lücke in dieser Form wäre. Wie allerdings in den Nutzungsbestimmungen geschrieben ist, stellt die Nuzung der ICQ Software und den damit vebundenen Diensten eine Sicherheitslüecke dar, die man akzeptiert, wenn man die ICQ Software oder den ICQ Dienst nutzt. Und die Nutzung der ICQ-Dienste durch nicht von ICQ und AOL bereitgestellten Software ist untersagt.

Also, irgendwie komme ich mir hintergangen vor. Egal, ich denke das Thema ist hiermit gegessen; ich danke euch nochmal für eure Hilfestellung.

CDW

Also mal wieder "wenn keiner über das Problem redet, existiert es auch nicht" Stragegie
Ich möchte gar nicht daran denken, was so ein ZDE in falschen Händen (Botnetz/Spamnetz Beitreiber) anrichten wird.

__________________
Noch mal, für alle Pseudo-Geeks: 1+1=0. -> 10 wäre Überlauf!
Selig, wer nichts zu sagen hat und trotzdem schweigt.

Elderan

Hallo,
würde mir ein Mitarbeiter so dumm kommen und mich auf die Nutzungsbedingungen hinweisen und dass das ja alles gar nicht erlaubt sei was ich da machen würde und ich es auf alle Fälle geheimhalten müsse, dann würde ich es erst recht anonym irgendwo publizieren (Heise Security ist eigentlich ne gute Anlaufstelle).

Die sollen dankbar sein das ich die darauf hingewiesen habe und es nicht gleich in der nächsten Mailingliste publiziert habe und nicht irgendwie rummeckern.

Naja, ich weiß ja nicht wie deren Email geschrieben ist. Klar kann man es solange unter dem Teppich halten bis die Lücke geschlossen ist, dies sollte man dann aber in einer freundlichen Art und Weise sagen.
So wie du es hier geschildert hast, hat sich das von denen nicht sehr freundlich angehört.

Und zu sagen, dass das alles mit den Nutzungsbedingungen abgedeckt sei... tztz.

Naja, wie gesagt, kenn nicht den Wortlaut der Email, aber bei mir herrscht das ganz simple Prinzip:
Kommen die mir dumm, komme ich denen dumm.

Man kan ja freundlich Antworten wenn man so nen Hinweis bekommt

Xalon

Also wenn die einen so dumm anmachen, auf nach bugtraq...

Und da du schreibst er hat dir gesagt man darf nicht mit anderen Clients ins ICQ-Netz denk ich mal du hast die Lücke zufällig gefunden, eben mit deinem Client.

Was spräche also dagegen dich in ICQ zu adden, zu schauen welchen Client du nutzt
(oder einfach fragen aber das ist nicht 1337 genug ) und dann einfach mal alles ausprobieren was der
Client kann bis eben der Offizielle abkackt...
Hab ich Recht? War jetzt mal so ins blaue geraten...

Und wenn das mal public ist is es bald geschlossen

mfg

Edit: Hmm oder du schreibst ihnen ne Mail, sagst ihnen die können dich mal und da du eh nen anderen Client
nutzt hast du nie ne EULA oä zu Gesicht bekommen, geschweige denn bestätigt und publizierst es dann einfach...

xeno

icq? was ist das?
ich hab jabber, und ich weiß warum

__________________
http://www.thehappy.de/~xeno/
http://www.blogthon.de/

Bytestream

Kriegt man die nicht die EULA zu lesen wenn man sich registriert und seine hübsche Nummer bekommt?