Messenger: Schwere Sicherheitslücke in Skype entdeckt

Der deutsche Sicherheitsforscher Stefan Kanthak hat eine schwerwiegende Sicherheitslücke in Microsofts Skype-Messenger entdeckt, welche von Seiten des Redmonder Unternehmens nicht ohne weiteres behoben werden kann. Eine Nutzung birgt aktuell ein nicht unerhebliches Risiko.

Bereits im September hatte der Sicherheitsexperte Microsoft über die Problematik informiert, erhielt jedoch die Mitteilung, dass das Unternehmen die Schwachstelle zwar reproduzieren könne, die Behebung jedoch eine „große Code-Revision‟ erfordere und somit erst in der nächsten Version durchgeführt werden kann.

Nutzer setzen sich großem Risiko aus

Dies birgt für Nutzer ein großes Risiko, denn der Fehler ermöglicht eine Ausweitung der Nutzerrechte, mit denen Angreifer auf das komplette System zugreifen können. Laut Kanthak sitzt der Fehler im Skype Update Installer, welcher sich per DLL-Hijacking ausnutzen lässt. Dafür genügt eine mit Schadcode präparierte DLL-Datei, welche lediglich in einem temporären Ordner abgelegt werden muss, auf die der angemeldete Nutzer Zugriff hat.

Anschließend muss nur die Originaldatei umbenannt werden, damit die Software nach der manipulierten Version Ausschau hält. Dies sei Kanthak zufolge bereits mit einfachen Scripten möglich, für die Windows seiner Aussage nach von Hause aus bereits verschiedene Wege anbieten würde. Diese Methode sei aber nicht nur auf Windows beschränkt, sondern finde auch bei Mac OS und Linux Anwendung.

Skype bisher kein lohnendes Ziel

Bisher war Skype für Angreifer relativ uninteressant, da die Anwendung im Normalzustand nur die Rechte des angemeldeten Nutzers besitzt. Durch die nun entdeckte einfache Ausweitung der Nutzerrechte können darüber jedoch schnell Systeme übernommen werden.