Angebliche Zero-Day-Lücke in Skype bereits seit Oktober 2017 geschlossen

Die vor kurzem vom deutschen Sicherheitsforscher Stefan Kanthak öffentlich gemachte Zero-Day-Lücke in Skype ist offenbar bereits seit Oktober geschlossen. Darauf weist The Register hin. Demnach bestätigte Ellen Kilbourne, Skype Program Manager, in einem Microsoft-Support-Forum, dass das im Oktober freigegebene Skype 8 einen Patch enthält.

Kanthak informierte Microsoft bereits Anfang September 2017 über die Schwachstelle. Ende Oktober 2017 teilte ihm das Unternehmen mit, Techniker hätten den Fehler nachvollzogen und entschieden, einen Fix in einer „neueren Version des Produkts zu implementieren statt in einem Sicherheitsupdate“. Das Team plane, eine neue Version des Clients auszuliefern und die aktuelle Version einzustellen. Der Installer, in dem die Schwachstelle stecke, benötige eine größere Code-Revision und alle Ressourcen seien der Entwicklung des neuen Clients vorbehalten.

Zumindest aus der von Kanthak auf Full Disclosure veröffentlichten Stellungnahme von Microsoft geht nicht hervor, dass das im Oktober veröffentlichte Skype-Update auf die Version 8.x besagte Code-Revision und damit auch einen Fix für die Sicherheitslücke enthält. Zudem erwähnen die Versionshinweise von Skype für Desktop, dass die laut Microsoft anfällige Version 7.40 zuletzt am 30. Oktober aktualisiert wurde – drei Tage, nachdem Microsoft dem Forscher seine Stellungnahme übermittelte.

„Der Installer für die aktuelle Version von Skype für Windows Desktop (v8) hat nicht dieses Problem, und sie ist seit Oktober 2017 erhältlich“, schreibt Kilbourne in Microsofts Support-Forum. „Kunden, die diese Version bereits installiert haben, sind nicht betroffen. Wir haben die ältere Version von Skype für Windows Desktop von unserer Website Skype.com entfernt.“

Skype-Nutzer sollten nun prüfen, welche Version des VoIP-Clients auf ihrem System installiert ist. Unter Windows 7 und 8.1 sollten sie, falls notwendig, auf die aktuelle Version 8.9 umsteigen, die sich nur unter älteren Versionen von Windows 10 installieren lässt. Microsofts aktuelles Betriebssystem erhält über die Skype-Website nur noch die Skype-UWP-App aus dem Windows Store, die generell nicht betroffen war, da sie den anfälligen Installer nicht benutzt.

Ein Bug im Installer von Skype 7.4 und älter erlaubt eine nicht autorisierte Ausweitung von Nutzerrechten. Der angemeldete Nutzer erhält System-Rechte, die es ihm erlauben, auf jegliche Bereiche des Betriebssystems zuzugreifen. „System ist ein ‚Administrator‘ auf Steroide“, sagte Kanthak im Gespräch mit ZDNet USA. Ausnutzen lässt sich der Fehler per DLL-Hijacking. Dabei wird einer Anwendung eine speziell präparierte Datei mit Schadcode untergeschoben. Diese muss der Angreifer lediglich in einem temporären Ordner ablegen, auf den der angemeldete Nutzer Zugriff hat. Wird die korrekte DLL-Datei umbenannt und der zuvor eingeschleusten Datei der Name der korrekten DLL-Datei gegeben, sucht Skype diese beim Start und findet schließlich nur die manipulierte Datei.

HIGHLIGHT

Report: State of Digital Transformation EMEA 2019

Zu den größten Hürden der digitalen Transformation zählen der mobile Zugriff auf Unternehmensdaten und Anwendungen, die Nutzung unsicherer Netzwerke und nicht verwalteter Geräte. Das geht aus dem Report „State of Digital Transformation EMEA 2019“ von Zscaler hervor. Jetzt den vollständigen Report herunterladen!

Tipp: Wie gut kennen Sie Windows? Überprüfen Sie Ihr Wissen – mit 15 Fragen auf silicon.de.

Stefan Beiersmann

Stefan unterstützt seit 2006 als Freier Mitarbeiter die ZDNet-Redaktion. Wenn andere noch schlafen, sichtet er bereits die Nachrichtenlage, sodass die ersten News des Tages meistens von ihm stammen.

Recent Posts

Podcast: Chancen und Risiken durch KI zum Schutz vor Hackerangriffen

Christoph Schuhwerk, CISO EMEA bei Zscaler, über den Einfluss von KI auf den permanenten Wettlauf…

15 Stunden ago

Außerplanmäßiges Update schließt Zero-Day-Lücke in Chrome

Von ihr geht ein hohes Risiko aus. Laut Google ist ein Exploit für die Chrome…

1 Tag ago

Hacker setzen neuartige Infostealer gegen Unternehmen ein

Kaspersky stellt eine hohe Nachfrage nach datenstehlender Malware in kriminellen Kreisen fest. Die Infostealer sind…

1 Tag ago

KI-gestützte Betrugserkennung

Neue Funktion in GoTo Resolve schützt Nutzer von Mobilgeräten vor Finanzbetrug, indem sie Support-Sitzungen überwacht…

2 Tagen ago

Europäischer Smartphonemarkt wächst zehn Prozent im ersten Quartal

Es ist das erste Plus seit dem dritten Quartal 2021. Die Marktforscher von Counterpoint rechnen…

2 Tagen ago

Megawatt-Kühlung für KI

Rittal hat eine neue Kühllösung vorgestellt, die über 1 Megawatt Kühlleistung erbringt und den Weg…

2 Tagen ago