Skype: DLL-Hijacking-Lücke entdeckt - Fix erfordere vorerst noch zu viel Aufwand

Einstellen Kommentar Drucken

"‚System' ist ein ‚Administrator' auf Steroide", sagte Kanthak, der Microsoft im September 2017 über die Lücke informierte, im Gespräch mit ZDNet USA.

Eine Sicherheitslücke in Skype bleibt vorerst ungepatcht.

Gegenüber dem immer beliebter werdenden und mittlerweile auch auf Desktop-PCs nutzbaren WhatsApp-Konkurrenten hat es Microsofts Skype-Messenger nicht gerade leicht, entsprechende Nutzerzahlen vorweisen zu können. Die originale DLL muss von einem Angreifer unbenannt werden. Anstatt die richtigen Bibliotheken von Microsoft für das Update zu laden, erhält der unwissende Nutzer Schadcode.

Diese kann dann mit den Zugriffsrechten des Benutzers Veränderungen am System vornehmen - also Daten auslesen oder dann, wenn der Benutzer Administratoren-Rechte hat, auch Daten löschen oder verschlüsseln. Systemrechte sind Administratorrechten übergeordnet - Kanthak beschreibt den Benutzerlevel "System" gegenüber zdnet.com mit den Worten "Administrator auf Steroiden". Durch die nun entdeckte einfache Ausweitung der Nutzerrechte können darüber jedoch schnell Systeme übernommen werden. Das bedeutet, dass sich die Software so austricksen lässt, dass sie statt einer regulären neuen Version von Skype eine solche installiert, die die Angreifer mit Malware versehen haben. Windows biete hier eine sehr große Oberfläche.

Mögliche Angriffszenarien sind nicht auf Windows beschränkt. Mac OS und Linux sind dafür ebenso anfällig.

Eigentlich sollte man meinen, dass ein Unternehmen wie Microsoft auch eine komplette Neuprogrammierung einer Funktion binnen fünf Monaten hinbekommen kann.

Microsoft Skype: schwere Sicherheitslücke entdeckt, die sich nicht ohne massiven Umbau im Programm-Code schließen lässtMicrosoft Skype: schwere Sicherheitslücke entdeckt, die sich nicht ohne massiven Umbau im Programm-Code schließen lässt – deine Meinung? Eher würden nötige Bugfixes in einer neuen Version von Skype zu finden sein.

Comments