CVE:CVE-2002-2385
CNNVD:CNNVD-200212-250
Hotfoon.com是PC到电话，PC到PC电话，即时信息聊天服务的提供商。使用客户端程序hotfoon4.exe来访问服务，其中包括dialer拨号。
hotfoon4.exe对要拨的电话号码字段缺少正确的边界检查，远程攻击者可以利用这个漏洞进行缓冲区溢出攻击。
hotfoon4.exe程序包含电话号码输入字段，但对这个字段的输入没有进行正确的缓冲区边界检查，输入过多号码可以导致发生缓冲区溢出。此溢出可以远程利用，因此拨号程序定义了名为"Voice"的URL协议，并在系统中已注册。如URL "voice:23456"会启动hotfoon4.exe并拨"23456"的电话号码。因此，远程攻击者提交"Voice:......<exploit string>"可以使程序崩溃，可能导致以hotfoon4.exe进程的权限在系统中执行任意指令。
solution:Upgrade hotfoon_corporation hotfoon to a higher version than 4.0,and avoid the version 4.0