Ein Fehler im Update-Prozess von Skype kann ausgenutzt werden, um Zugriff auf das System zu erlangen. Microsoft hat allerdings erklärt, dass man den Bug vorerst nicht beseitigen will, weil das zu viel Arbeit bedeutet.
Nachdem Intel in letzter Zeit mit der schwerwiegenden Spectre-Sicherheitslücke für Schlagzeilen gesorgt hatte, liegt der Fokus der medialen Berichterstattung momentan auf Microsoft. Das Unternehmen wurde nämlich vom Sicherheitsforscher Stefan Kanthak darüber benachrichtigt, dass im Update-Prozess von Skype ein schwerwiegender Fehler existiert. Der Skype-Updater läuft nämlich als eine eigene .exe-Datei und durch DLL Hijacking könnte so fremder, potenziell gefährlicher Code installiert werden. Dieser Angriffsvektor könne genutzt werden, um so auch Zugriff auf das System zu erlangen und damit anzustellen, was auch immer der Angreifer wünscht, erklärt der Forscher.
Skype-Lücke – Microsoft weiß es seit September
Microsoft wurde im September darüber benachrichtigt, doch bislang kein Update ausgeliefert. Dies wird vorerst auch nicht passieren, denn Microsoft hat in einem Statement erklärt, dass es eine „große Code-Revision benötige, um DDL Injection zu verhindern.“ Stattdessen wird eine neue Version des Skype Desktop-Programms ausgeliefert und die aktuelle Version langsam als „deprecated“ bezeichnet.
Skype-Lücke – UWP-App nicht betroffen
Es ist allerdings anzumerken, dass von diesem Fehler nur die aktuelle Skype Desktop-App betroffen ist und nicht die Skype-App aus dem Windows Store.
via ZDNet
