Skype schließt kritische Sicherheitslücke

Betroffen sind die Windows-Versionen 7.2, 7.35 und 7.36. Ein Angreifer kann unter Umständen Schadcode aus der Ferne einschleusen und ausführen. Eine Interaktion mit dem Nutzer ist nicht erforderlich.

Skype hat Anfang des Monats eine kritische Lücke in der Windows-Version seines Messaging-Clients geschlossen, wie erst jetzt bekannt wurde. Die Anfälligkeit in der Windows-Bibliothek Msftedit.dll steckte in den Versionen 7.2, 7.35 und 7.36. Einen Angreifer versetzte sie in die Lage, Schadcode einzuschleusen und auszuführen und auch einen Absturz der Anwendung auszulösen.

Skype 8 (Screenshot: ZDNet.de)Entdeckt wurde die Anfälligkeit vom Sicherheitsforscher Benjamin Kunz Mejri, der sie in einem Blogeintrag für seinen Arbeitgeber Vulnerability Lab öffentlich machte. Mitte Mai informierte er Microsoft über das Problem, das schließlich einen Fix ankündigte und diesen seit 8. Juni mit dem Update auf die Version 7.37.178 ausliefert.

Der Fehler tritt dem Forscher zufolge bei Kopiervorgängen auf und kann beispielsweise mit speziell präparierten Bildern ausgenutzt werden. Wird ein solches Bild von der Zwischenablage in Skype kopiert, löst Skype einen Pufferüberlauf aus, der schließlich zu einem Absturz führt und eine Remotecodeausführung erlaubt. Mejri betont, dass die Anfälligkeit lokal und aus der Ferne ausgenutzt werden kann und keine Interaktion mit einem Nutzer notwendig ist. Einzige Voraussetzung sei ein Skype-Konto.

„Angreifer sind in der Lage, die Software mit einer einzigen Anfrage zum Überschreiben des EIP-Registers des aktiven Software-Prozesses abstürzen zu lassen“, heißt es im Blog von Vulnerability Lab. „Das erlaubt es lokalen oder entfernten Angreifern, eigenen Code auf betroffenen und über die Skype-Software verbundenen Computersystemen auszuführen.“

Vulnerability Lab bewertet die Schwachstelle mit 7,2 Punkten im zehnstufigen Common Vulnerability Scoring System. Nach Schätzungen des Unternehmens sollte der Bug auf dem Schwarzmarkt einen Preis von 25.000 bis 35.000 Euro erzielen. Die Funktionsweise des Exploits zeigt das Unternehmen zudem in einem Video.

ANZEIGE

Server-Hosting: Sicherheit und Datenschutz Made in Germany

Sicherheit und Datenschutz sind zwei wesentliche Kriterien bei der Auswahl eines virtuellen Servers. Mit zwei nach ISO 27001 zertifizierten Hochleistungsrechenzentren in Deutschland bietet STRATO nicht nur strenge Sicherheitsmaßnahmen, sondern auch Datenschutz nach deutschem Recht. Zudem beinhalten die V-Server zahlreiche Komfortfeatures.

[mit Material von Charlie Osborne, ZDNet.com]

Tipp: Was wissen sie über Microsoft? Überprüfen Sie Ihr Wissen – mit 15 Fragen auf silicon.de.

Themenseiten: Messenger, Security, Sicherheit, Skype

Fanden Sie diesen Artikel nützlich?
Content Loading ...
Whitepaper

ZDNet für mobile Geräte
ZDNet-App für Android herunterladen Lesen Sie ZDNet-Artikel in Google Currents ZDNet-App für iOS

Artikel empfehlen:

Neueste Kommentare 

Noch keine Kommentare zu Skype schließt kritische Sicherheitslücke

Kommentar hinzufügen

Schreibe einen Kommentar

Deine E-Mail-Adresse wird nicht veröffentlicht. Erforderliche Felder sind markiert *