Neue Cross-Site-Scripting-Lücke in Skype entdeckt

Sie steckt in den aktuellen Client-Versionen für Windows und Mac. Ein Angreifer kann sie ausnutzen, um sich Zugang zum Konto eines Gesprächspartners zu verschaffen. Skype will kommende Woche einen Patch bereitstellen, der die Lücke schließt.

Der armenische Sicherheitsforscher Levent „noptrix“ Kayan hat auf eine neue Cross-Site-Scripting-Lücke in Skype 5.3.0.120 hingewiesen, über die sich ein Angreifer unter anderem Zugang zum Konto eines Chatkontakts verschaffen kann. Unter Ausnutzung weiterer Schwachstellen sei es sogar möglich, die vollständige Kontrolle über ein System zu übernehmen.

Betroffen sind Kayan zufolge die Client-Versionen für Windows 7, Vista und XP sowie für Mac OS X 10.6.8. Auf seiner Website hat er einen Proof-of-Concept-Code für das Sicherheitsloch veröffentlicht.

Kayans Proof of Concept zeigt ausgelesene Sitzungsinformationen an (Bild: Levent Kayan).
Kayans Proof of Concept zeigt ausgelesene Sitzungsinformationen an (Bild: Levent Kayan).

Das Problem besteht laut Kayan darin, dass sich Script-Code in Eingabefelder der Profilbeschreibung eintragen lässt. Skype prüfe diese Felder nicht ausreichend. „Ein Angreifer müsste lediglich Schadcode verschicken. Ein Zutun des Opfers ist nicht nötig. Es wird attackiert, sobald es sich an seinem Konto anmeldet“, sagte Kayan den Kollegen von ZDNet Australien. Er halte das von der Lücke ausgehende Risiko für „hoch“.

Skype schätzt das Risiko hingegen eher als gering ein. Sicherheitschef Adrian Asher erklärte, dass jemand ein bestätigter Kontakt sein müsse, um die Schwachstelle auszunutzen. Man arbeite bereits an einem Patch und wolle diesen in der kommenden Woche bereitstellen.

Themenseiten: Kommunikation, Microsoft, Skype, VoIP

Fanden Sie diesen Artikel nützlich?
Content Loading ...
Whitepaper

ZDNet für mobile Geräte
ZDNet-App für Android herunterladen Lesen Sie ZDNet-Artikel in Google Currents ZDNet-App für iOS

Artikel empfehlen:

Neueste Kommentare 

Noch keine Kommentare zu Neue Cross-Site-Scripting-Lücke in Skype entdeckt

Kommentar hinzufügen

Schreibe einen Kommentar

Deine E-Mail-Adresse wird nicht veröffentlicht. Erforderliche Felder sind markiert *