Microsoft nemá v plánu opravit zranitelnosti ve stávající verzi Skypu

22. 2. 2018 v sekci Článek

Ve službě Skype bylo objeveno několik závažných zranitelností, které by mohly potenciálním útočníkům umožnit plnou kontrolu nad uživatelským zařízením. Microsoft se údajně nechystá chybu v dohledné době odstranit, tedy alespoň ne formou klasického patche. Na zranitelnost poukázal bezpečnostní expert Stefan Kanthak. Uvedl, že problém je v instalátoru updatů (součást Skypu), který je náchylný k DLL hijackingu.

Zranitelnost je způsobena vyhledávacími preferencemi, díky nimž může útočník zneužít updatovací proces tím, že předloží podvržené DLL do složky dočasných souborů (ve Windows) a přejmenuje je tak, aby odpovídaly legitimním DLL, které lze upravit bez jakýchkoliv uživatelských oprávnění. Když se pak instalátor updatů pokusí najít relevantní DLL, vezme si podvržené DLL jako první.

Kanthak demonstroval útok na Windows verzi Skypu, stejný princip však lze použít i v případě jiných operačních systémů, tedy i v prostředí macOS a Linux. Zranitelnost se týká jen desktopových aplikací, které využívají instalátor updatů. UWP (Universal Windows Platform) verze, která je k dispozici pro Windows 10 na Microsoft Storu, by neměla být ohrožena. Není to poprvé, co se ve Skypu objevily vážné zranitelnosti – v létě 2017 se Skype potýkal s chybou CVE-2017-9948, která ohrožovala verze 7.2, 7.35 a 7.36 pro systémy Windows XP, Windows 7 and Windows 8. Ta umožňovala prostřednictvím zahlcení vyrovnávací paměti vzdáleně shodit aplikaci, která skončila neočekávanou chybou a nechala tak otevřené dveře pro další nežádoucí aktivity.

Kanthak nahlásil problém Microsoftu v září loňského roku, odpovědí mu bylo, že je pro nápravu nutná rozsáhlá revize stávajícího kódu. Což znamená, že nejlepším řešením bude úplně nová verze Skypu.

Populární komunikační nástroj Skype, který je od roku 2011 součástí Microsoftu, je pro koncové uživatele k dispozici zcela zdarma. Oblíbenost Skypu sice v posledních letech spíše klesá (v důsledku nástupu řady dalších služeb se stejnými funkcemi), přesto má přes 300 milionů aktivních uživatelů měsíčně.

Uživatelé by měli zůstat obezřetní a držet se základních bezpečnostních zásad (neotvírat přílohy nevyžádaných e-mailů, mít nainstalovaný a pravidelně updatovaný antivirový software…).

Zdroj: THN






Tento web používá cookies. Více informací ROZUMÍM