13.02.2018 | aktual.: 13.02.2018 22:40
Mowa o luce bezpieczeństwa w procesie aktualizacji komunikatora. Umiejętnie przeprowadzony atak pozwoli atakującym uzyskać uprawnienia systemowe na podatnym komputerze. Możliwe jest podniesienie uprawnień z użytkownika lokalnego do System – najwyższych możliwych. Atakujący nie będzie w żaden sposób ograniczony.
Atak można przeprowadzić podmieniając plik DLL w folderze z programem. Ponieważ program Updater.exe ładuje między innymi UXTheme.dll ze swojego folderu, zamiast z folderów systemowych, wystarczy podmienić wspomniany plik na szkodliwy, by przeprowadzić atak. Może to zrobić nawet użytkownik bez szczególnych uprawnień.
Wektor ataku jest dobrze znany i udokumentowany. Co więcej, Microsoft uczy programistów, jak zapobiegać atakom tego typu. Czyżby deweloperzy Skype'a nie podążali za wytycznymi pracodawcy?
Błąd został zgłoszony 2 września i minął już czas, jaki zwyczajowo autorzy programu mają na naprawienie swoich pomyłek. Luka nie zostanie jednak naprawiona tak szybko, jak na to zasługuje. Microsoft tłumaczy, że wymaga to zbyt dużo pracy i przejrzenia sporej ilości kodu. Zamiast tego Microsoft woli przeznaczyć zasoby na pisanie nowego klienta. Poprawkę dostaniemy najwcześniej z kolejnym dużym wydaniem komunikatora.
Warto dodać, że potencjalnie lukę można wykorzystać nie tylko na Windowsie, ale z kolei wersja z Windows Store nie jest podatna. Automatyzacja ataku także nie powinna być trudna – wystarczy, że malware będzie pobierał i podmieniał spreparowaną bibliotekę podczas aktualizacji Skype'a.
