Angebliche Zero-Day-Lücke in Skype bereits seit Oktober 2017 geschlossen

Die vor kurzem vom deutschen Sicherheitsforscher Stefan Kanthak öffentlich gemachte Zero-Day-Lücke in Skype ist offenbar bereits seit Oktober geschlossen. Darauf weist The Register hin. Demnach bestätigte Ellen Kilbourne, Skype Program Manager, in einem Microsoft-Support-Forum, dass das im Oktober freigegebene Skype 8 einen Patch enthält.

Kanthak informierte Microsoft bereits Anfang September 2017 über die Schwachstelle. Ende Oktober 2017 teilte ihm das Unternehmen mit, Techniker hätten den Fehler nachvollzogen und entschieden, einen Fix in einer „neueren Version des Produkts zu implementieren statt in einem Sicherheitsupdate“. Das Team plane, eine neue Version des Clients auszuliefern und die aktuelle Version einzustellen. Der Installer, in dem die Schwachstelle stecke, benötige eine größere Code-Revision und alle Ressourcen seien der Entwicklung des neuen Clients vorbehalten.

Zumindest aus der von Kanthak auf Full Disclosure veröffentlichten Stellungnahme von Microsoft geht nicht hervor, dass das im Oktober veröffentlichte Skype-Update auf die Version 8.x besagte Code-Revision und damit auch einen Fix für die Sicherheitslücke enthält. Zudem erwähnen die Versionshinweise von Skype für Desktop, dass die laut Microsoft anfällige Version 7.40 zuletzt am 30. Oktober aktualisiert wurde – drei Tage, nachdem Microsoft dem Forscher seine Stellungnahme übermittelte.

„Der Installer für die aktuelle Version von Skype für Windows Desktop (v8) hat nicht dieses Problem, und sie ist seit Oktober 2017 erhältlich“, schreibt Kilbourne in Microsofts Support-Forum. „Kunden, die diese Version bereits installiert haben, sind nicht betroffen. Wir haben die ältere Version von Skype für Windows Desktop von unserer Website Skype.com entfernt.“

Skype-Nutzer sollten nun prüfen, welche Version des VoIP-Clients auf ihrem System installiert ist. Unter Windows 7 und 8.1 sollten sie, falls notwendig, auf die aktuelle Version 8.9 umsteigen, die sich nur unter älteren Versionen von Windows 10 installieren lässt. Microsofts aktuelles Betriebssystem erhält über die Skype-Website nur noch die Skype-UWP-App aus dem Windows Store, die generell nicht betroffen war, da sie den anfälligen Installer nicht benutzt.

Ein Bug im Installer von Skype 7.4 und älter erlaubt eine nicht autorisierte Ausweitung von Nutzerrechten. Der angemeldete Nutzer erhält System-Rechte, die es ihm erlauben, auf jegliche Bereiche des Betriebssystems zuzugreifen. „System ist ein ‚Administrator‘ auf Steroide“, sagte Kanthak im Gespräch mit ZDNet USA. Ausnutzen lässt sich der Fehler per DLL-Hijacking. Dabei wird einer Anwendung eine speziell präparierte Datei mit Schadcode untergeschoben. Diese muss der Angreifer lediglich in einem temporären Ordner ablegen, auf den der angemeldete Nutzer Zugriff hat. Wird die korrekte DLL-Datei umbenannt und der zuvor eingeschleusten Datei der Name der korrekten DLL-Datei gegeben, sucht Skype diese beim Start und findet schließlich nur die manipulierte Datei.

HIGHLIGHT

Report: State of Digital Transformation EMEA 2019

Zu den größten Hürden der digitalen Transformation zählen der mobile Zugriff auf Unternehmensdaten und Anwendungen, die Nutzung unsicherer Netzwerke und nicht verwalteter Geräte. Das geht aus dem Report „State of Digital Transformation EMEA 2019“ von Zscaler hervor. Jetzt den vollständigen Report herunterladen!

Tipp: Wie gut kennen Sie Windows? Überprüfen Sie Ihr Wissen – mit 15 Fragen auf silicon.de.

Stefan Beiersmann

Stefan unterstützt seit 2006 als Freier Mitarbeiter die ZDNet-Redaktion. Wenn andere noch schlafen, sichtet er bereits die Nachrichtenlage, sodass die ersten News des Tages meistens von ihm stammen.

Recent Posts

Konsolidierte und strukturierte Daten für medizinische Versorgung

Telekom und vitagroup stellen Kliniken offene Plattform zur Verfügung, die Gesundheitsdaten unabhängig von einzelnen Herstellern…

13 Stunden ago

Zahl der Webauftritte sinkt wieder

Auch 2023 war kein gutes Jahr für die Hoster von KMU-Webseiten. Erneut schlossen viele Mittelständler…

13 Stunden ago

Pwn2Own: Google verteilt Sicherheitsupdate für Chrome

Es schließt zwei schwerwiegende Lücken, die eine Remotecodeausführung erlauben. Darüber hinaus stopft Google ein kritisches…

2 Tagen ago

IT-Verzicht fürs Klima – wie viele sind dazu bereit?

Der Digitalverband Bitkom hat 1.000 Deutsche danach befragt, auf welche Angebote sie aus Gründen des…

2 Tagen ago

BSI warnt Microsoft-Exchange-Nutzer

Laut Bundesamt sind mindestens 17.000 Instanzen in Deutschland durch eine oder mehrere kritische Schwachstellen verwundbar.

2 Tagen ago

Apple kündigt Entwicklerkonferenz WWDC 2024 für 10. Juni an

Die Veranstaltung startet wie in jedem Jahr mit einer Keynote. Apple verspricht Neuerungen für alle…

2 Tagen ago