Angebliche Zero-Day-Lücke in Skype bereits seit Oktober 2017 geschlossen

Die vor kurzem vom deutschen Sicherheitsforscher Stefan Kanthak öffentlich gemachte Zero-Day-Lücke in Skype ist offenbar bereits seit Oktober geschlossen. Darauf weist The Register hin. Demnach bestätigte Ellen Kilbourne, Skype Program Manager, in einem Microsoft-Support-Forum, dass das im Oktober freigegebene Skype 8 einen Patch enthält.

Kanthak informierte Microsoft bereits Anfang September 2017 über die Schwachstelle. Ende Oktober 2017 teilte ihm das Unternehmen mit, Techniker hätten den Fehler nachvollzogen und entschieden, einen Fix in einer „neueren Version des Produkts zu implementieren statt in einem Sicherheitsupdate“. Das Team plane, eine neue Version des Clients auszuliefern und die aktuelle Version einzustellen. Der Installer, in dem die Schwachstelle stecke, benötige eine größere Code-Revision und alle Ressourcen seien der Entwicklung des neuen Clients vorbehalten.

Zumindest aus der von Kanthak auf Full Disclosure veröffentlichten Stellungnahme von Microsoft geht nicht hervor, dass das im Oktober veröffentlichte Skype-Update auf die Version 8.x besagte Code-Revision und damit auch einen Fix für die Sicherheitslücke enthält. Zudem erwähnen die Versionshinweise von Skype für Desktop, dass die laut Microsoft anfällige Version 7.40 zuletzt am 30. Oktober aktualisiert wurde – drei Tage, nachdem Microsoft dem Forscher seine Stellungnahme übermittelte.

„Der Installer für die aktuelle Version von Skype für Windows Desktop (v8) hat nicht dieses Problem, und sie ist seit Oktober 2017 erhältlich“, schreibt Kilbourne in Microsofts Support-Forum. „Kunden, die diese Version bereits installiert haben, sind nicht betroffen. Wir haben die ältere Version von Skype für Windows Desktop von unserer Website Skype.com entfernt.“

Skype-Nutzer sollten nun prüfen, welche Version des VoIP-Clients auf ihrem System installiert ist. Unter Windows 7 und 8.1 sollten sie, falls notwendig, auf die aktuelle Version 8.9 umsteigen, die sich nur unter älteren Versionen von Windows 10 installieren lässt. Microsofts aktuelles Betriebssystem erhält über die Skype-Website nur noch die Skype-UWP-App aus dem Windows Store, die generell nicht betroffen war, da sie den anfälligen Installer nicht benutzt.

Ein Bug im Installer von Skype 7.4 und älter erlaubt eine nicht autorisierte Ausweitung von Nutzerrechten. Der angemeldete Nutzer erhält System-Rechte, die es ihm erlauben, auf jegliche Bereiche des Betriebssystems zuzugreifen. „System ist ein ‚Administrator‘ auf Steroide“, sagte Kanthak im Gespräch mit ZDNet USA. Ausnutzen lässt sich der Fehler per DLL-Hijacking. Dabei wird einer Anwendung eine speziell präparierte Datei mit Schadcode untergeschoben. Diese muss der Angreifer lediglich in einem temporären Ordner ablegen, auf den der angemeldete Nutzer Zugriff hat. Wird die korrekte DLL-Datei umbenannt und der zuvor eingeschleusten Datei der Name der korrekten DLL-Datei gegeben, sucht Skype diese beim Start und findet schließlich nur die manipulierte Datei.

Tipp: Wie gut kennen Sie Windows? Überprüfen Sie Ihr Wissen – mit 15 Fragen auf silicon.de.