CVE:CVE-2002-0591
CNNVD:CNNVD-200206-019
AIM是AOL公司开发和维护的即时聊天程序。
AIM在"直接连接"的在线传输文件功能实现上存在漏洞，可导致攻击者存放文件到目标系统任意位置。
AIM在两个用户之间"直接连接"传输文件时(此直接连接功能可以方便地使用户共享多媒体等资源)，发送给用户的图片或者声音文件会包含img标记和data标记，当文件发送后，如果文件类型是RIFF/WAVE类型，接收者一端会使用'SndPlaySoundEx'API函数自动执行文件，当客户端执行文件时，会在Windows临时目录建立文件并从临时目录中执行。
攻击者可以在img标记中的SRC参数提供包含'../'字符，使的当客户端接收文件后，会把文件存在放在系统任意位置上。另外，img标记也能修改，使图标在接收客户端的时候不显示。结合这些方法，可以导致攻击者在目标系统上保存任意文件到任意位置。
solution:Upgrade aol instant_messenger to a higher version than 4.0,4.1,4.2,4.3,4.4,4.5,4.6,4.7,4.8_beta,and avoid the version 4.0,4.1,4.2,4.3,4.4,4.5,4.6,4.7,4.8_beta