Microsoft lässt gravierende Sicherheitslücke in Skype (vorerst) ungepatcht

Die vom deutschen Sicherheitsforscher Stefan Kanthak gefundene Lücke meldete dieser bereits im letzten September an den Skype-Entwickler Microsoft. Dieser informierte den Experten daraufhin darüber, dass der Fehler zwar reproduzierbar, allerdings nicht ohne größere Umbauten am Code zu beheben wäre.

Konkret von der Sicherheitslücke betroffen ist dabei der Skype-Updater. Dieser kann durch DLL-Hijacking ausgenutzt werden, wobei die infizierte DLL-Datei dabei auch in einem temporären Ordner - beispielsweise vom Webbrowser - abgelegt werden kann. Die originale DLL muss von einem Angreifer unbenannt werden.

Im Prinzip benötigt der Hacker damit bereits Zugriff zum System, allerdings kann sich dieser durch die Lücke im Skype-Updater vergleichsweise einfach System-Rechte und damit den kompletten Zugriff auf den Computer erlangen.

Aktuell ist noch unklar, welche Skype-Version auf welchen Systemen konkret betroffen sind. 

Quelle(n)