Japanese Translation:

1998年8月13日（メール受信日は8月14日）、Rootshellはセキュリティブレッリン#22を発行し、ICQにおける重大な脆弱性情報を公表した。この脆弱性により、攻撃者はパスワードを知らずとも任意のユーザーとしてログインすることが可能となる。本バグの原因は、Mirabilisサーバーが8文字に制限するパスワード要件を採用している一方、9文字以上のパスワードを送信するクライアントではバッファオーバーフローが発生し、ログインシステム全体が完全に侵害される点にある。なりすましとは異なり、これは特定のUIN（ユーザーIDナンバー）に対して、そのターゲットが現在ログイン中ではない場合であれば動作する真正なアカウント乗っ取り攻撃である。 exploitを行うには、攻撃者はICQのクローン（例：http://hookah.ml.org/zicqよりダウンロード）を入手し、ターゲットのUINに"123456789"のような長パスワードを設定してアクセスし、そのオフラインアカウントのすべての privés メッセージおよび認証情報を入手するとともに、メッセージの送信・受信が可能な状態となる。当該問題はユーザー zack（zallison@rice.edu）より kit@rootshell.com へ報告された。Rootshell は、Mirabilis や AOL のような企業に対し、通信プライバシーの完全な喪失ならびにメッセージストリームの不正な制御を防ぐため、このプロトコルの弱さを直ちに修復するよう要請している。

ICQ パスワード認証不具合に関するセキュリティ公告（第 22 号）

日付: 1998 年 8 月 14 日
ソース: Rootshell セキュリティ公告
参照サイト: http://www.rootshell.com/

メールリストの概要

購読解除: メッセージ本文に
```
unsubscribe announce
```
を含め、
```
majordomo@rootshell.com
```
宛に送信してください。
投稿方法:
```
info@rootshell.com
```
宛に送信ください。（掲載されない限り他メンバーへ転送されません）
アーカイブ: http://www.rootshell.com/mailinglist-archive

1. ICQ のパスワード認証における重大な不具合

Mirabilis ICQ に新たなセキュリティ脆弱性が確認されました。Rootshell 側および第三者（zallison@rice.edu）の調査により、以下の事実が判明しています。

脆弱性の概要

任意ユーザーへのログインが可能: パスワードを知ることなく、特定の UIN を指定すればサーバーにログイン可能です。
リスクの性質: 単なる ID スプーフィングではなく、真正なアカウントとして認証され、オフライン時のメッセージも受信できる状態になります。

仕組みと原因

パスワード長制限の違い:
- Mirabilis サーバー側：パスワードは 8 キャラクター以内 に制限されている。
- 標準クライアント：同様に 8 キャラクター以下のみ送信する。
- Linux クローン（脆弱性対象）: このチェックを行っておらず、長すぎるパスワードを送信するとバッファオーバーフローが発生し、認証プロセスがスキップされる。

攻撃手順

以下の手順でターゲットユーザーのアカウントを乗っ取れます。

# 1. 脆弱性を有する ICQ クローンを取得
# 例: http://hookah.ml.org/zicq

# 2. ターゲットの UIN を設定する
target_uin=<対象者の UIN>

# 3. バッファオーバーフローを引き起こす長さのパスワードを指定する
# 9 文字以上（例："123456789"）が条件
password="123456789"

# 4. クローンを起動し接続
./zicq -u $target_uin -p $password

結果: 指定した UIN で正常にログインし、メッセージを受信・送受信（クライアント機能による）が可能です。
適用範囲: すべての UIN に適用可能です。ただし、その UIN がすでに他ユーザーによってログオンされていないことを前提としています。

結論

Mirabilis および AOL はこのセキュリティ問題を直ちに解決する必要があります。

主要なICQセキュリティ問題（1998年）