Une nouvelle version de Yahoo Messenger a été mise en ligne le 8 juin denier. Elle fait suite à la découverte de deux failles importantes dans le logiciel par la firme de sécurité eEye Digital Security et un certain Danny. Elles frappent deux contrôles activeX qui permettent à la webcam d’envoyer et d’afficher des images ywcupl.dll et ywcvwr.dll).

Comme souvent, elles prennent la forme d’un débordement de mémoire tampon avec lequel un utilisateur distant peut prendre le contrôle de la machine fragilisée via une simple page web mal formée, ou y installer un programme malveillant. Toutes les versions publiées avant ce 8 juin sont concernées (8.1.0.249 et inférieures).

Deux messages ont été postés le 6 juin dernier sur la liste Full Disclosure afin de démontrer preuve à l’appui une exploitation de ces failles « 0days ». Faute d’avoir été avertie à temps, la firme Yahoo n’a pu alerter et mettre à jour son logiciel que le lendemain. Secunia, l’un des principaux sites de sécurité, a classé ces deux failles comme étant « extrêmement critiques ». Le site a mis à jour son test de vulnérabilité en ligne (inoffensif) pour tenir compte de cette nouvelle faille.