Gadgetshowto
V aktualizátoru Skype byla objevena nová chyba, která může potenciálně umožnit hackerům získat úplný přístup k systému uživatele. Nejprve nahlášený bezpečnostním expertem Stefanem Kanthakem na Seclists.org, chybu lze zneužít k získání neomezeného přístupu do všech částí operačního systému.
Podle Kanthaka:
„Po instalaci používá Skype namísto Windows / Microsoft Update vlastní proprietární aktualizační mechanismus… [Protože] Skype pravidelně spouští„% ProgramFile% \ Skype \ Updater \ Updater.exe “pod účtem SYSTEM, pokud je k dispozici aktualizace, [ ] Updater.exe zkopíruje / extrahuje jiný spustitelný soubor jako '% SystemRoot% \ Temp \ SKY
.tmp ”/ QUIET”. “
Kanthak dále vysvětluje, že aktualizátor je zranitelný právě kvůli výše uvedenému spustitelnému souboru. Hackeři mohou využít Highjacking DLL, protože spustitelný soubor načte alespoň jeden soubor DLL s názvem 'UXTheme.dll' ze svého adresáře aplikace namísto načtení jeho ze systémového adresáře Windows.
Pokud je místní uživatel schopen umístit soubor UXTheme.dll nebo jakoukoli jinou knihovnu DLL načtenou zranitelným spustitelným souborem, bude mít uživatel přístup k účtu SYSTEM. Společnost Microsoft již vydala způsoby, jak se této chybě vyhnout, ale Kanthak tvrdí, že vývojáři společnosti tento problém ignorují.
Kanthak dodává, že Microsoft na tuto chybu upozornil již v září, ale společnost nevydala opravu. Podle nahlášené časové osy této chyby společnosti Seclists se očekává, že Microsoft vydá opravu v novější verzi aplikace Skype, místo zavedení speciální aktualizace zabezpečení, protože druhá možnost by byla příliš pečlivá vzhledem k vývojovému cyklu společnosti.
