Összefoglaló
Egy sérülékenységet találtak a Skype-ban, amit kihasználva, támadók megkerülhetnek bizonyos biztonsági korlátozásokat, valamint bizalmas információkat szerezhetnek.
Leírás
Egy sérülékenységet találtak a Skype-ban, amit kihasználva, támadók megkerülhetnek bizonyos biztonsági korlátozásokat, valamint bizalmas információkat szerezhetnek.
A sérülékenységet az URI-ban kapott paraméter feldolgozása váltja ki. Ezt kihasználva, egy káros tartalmú “/Datapath” paraméter befecskendezésével, ami pl. egy rosszindulatú távoli SMB megosztásra mutat, befolyásolni lehet bizonyos Skype beállításokat (biztonsági korlátozások, proxy beállítások), valamint bizalmas információkat lehet megszerezni (chat log, híváslista).
A hiba sikeres kihasználásához szükség van arra, hogy a felhasználó megnyisson egy speciálisan elkészített “skype:” URI-t, továbbá függ a használt böngészőtől is. Az Internet Explorer 6, 7 és 8, valamint a Chrome böngészők érintettek.
A sérülékenységet a 4.2.0.1.55 verzió (v4.2 hotfix #1) előtti Windows-os kiadások tartalmazzák.
Megoldás
Frissítsen a legújabb verzióraTámadás típusa
Input manipulation (Bemenet módosítás)Hatás
Loss of confidentiality (Bizalmasság elvesztése)Loss of integrity (Sértetlenség elvesztése)
Szükséges hozzáférés
Remote/Network (Távoli/hálózat)Hivatkozások
Gyártói referencia: share.skype.com
Gyártói referencia: developer.skype.com
Egyéb referencia: www.security-assessment.com
SECUNIA 38908
