Gadgetshowto
Er is een nieuwe bug ontdekt in de updater van Skype waardoor hackers mogelijk volledige toegang krijgen tot het systeem van een gebruiker. Voor het eerst gerapporteerd door beveiligingsexpert Stefan Kanthak op Seclists.org, kan de bug worden misbruikt om onbeperkte toegang te krijgen tot elk onderdeel van het besturingssysteem.
Volgens Kanthak:
"Na installatie gebruikt Skype zijn eigen gepatenteerde updatemechanisme in plaats van Windows / Microsoft Update ... [Omdat] Skype periodiek '% ProgramFile% \ Skype \ Updater \ Updater.exe' uitvoert onder de SYSTEM-account, wanneer een update beschikbaar is, [de ] Updater.exe kopieert / extraheert een ander uitvoerbaar bestand als '% SystemRoot% \ Temp \ SKY
.tmp "/ QUIET '."
Kanthak legt verder uit dat het vanwege het bovengenoemde uitvoerbare bestand is dat de updater kwetsbaar is. Hackers kunnen DLL highjacking gebruiken, aangezien het uitvoerbare bestand ten minste één DLL-bestand met de naam 'UXTheme.dll' uit de toepassingsmap laadt in plaats van het uit de Windows-systeemmap te laden.
Als een lokale gebruiker de UXTheme.dll of een van de andere DLL's kan plaatsen die door het kwetsbare uitvoerbare bestand zijn geladen, kan de gebruiker toegang krijgen tot het SYSTEM-account. Microsoft heeft al manieren vrijgegeven om de kwetsbaarheid te vermijden, maar Kanthak beweert dat de ontwikkelaars van het bedrijf het probleem lijken te negeren.
Kanthak voegt eraan toe dat hij Microsoft in september op de hoogte heeft gesteld van de bug, maar het bedrijf heeft geen oplossing uitgebracht. Volgens de gerapporteerde tijdlijn van de bug door Seclists wordt van Microsoft verwacht dat het een oplossing zal uitbrengen in een nieuwere versie van Skype, in plaats van een speciale beveiligingsupdate uit te rollen, aangezien de laatste optie te nauwgezet zou zijn gezien de ontwikkelingscyclus van het bedrijf.
