ICQ-Sicherheitslücke: Anmeldung als beliebiger Nutzer ohne Passwort
Major ICQ security hole (1998)
Ein Pufferüberlauf in den Mirabilis-Servern ermöglichte 1998 die Anmeldung als beliebiger ICQ-Nutzer, ohne dessen Passwort zu kennen. Der Fehler wurde von einem Entwickler eines Linux-ICQ-Clients entdeckt, nachdem ein Nutzer sich mit einem Tippfehler im Passwort erfolgreich eingeloggt hatte. Ursache war, dass die offiziellen Clients nur Passwörter bis zu 8 Zeichen sendeten, die Server aber bei längeren Eingaben den Puffer überliefen. Der Exploit erforderte lediglich ein ICQ-Clone, die Ziel-UIN und ein neun Zeichen langes Passwort.
Es ist möglich, sich bei den ICQ-Servern als JEDER anzumelden, ohne dessen Passwort zu kennen. Dies ist *kein* einfaches Spoofing.