News Messenger: Schwere Sicherheitslücke in Skype entdeckt

[habla2k]

Die viel größere Lücke ist, dass man immer diese aufgeblasene Ansicht hat und keine kompatke Ansicht. Links die Kontakte und rechts immer das Fenster zum Chat offen, selbst wenn keiner aktiv ist.

 

[phoenixtr]

@habla2k:
wenn du das Desktop-Programm verwendest, dann kannst du in den Optionen das Layout ändern, genaue Bezeichnung fällt mir gerade nicht ein, aber die Funktion existiert.

In der App könntest du die Fenstergröße so anpassen, dass nur die Kontakte eingeblendet sind und bei klick auf einen Kontakt dann nur der Chat da ist. Das ist ja auch deutlich kompakter als die von dir beschriebene Ansicht.

 

[miaukissme]

Will das jetzt nicht bagatellisieren aber wenn erst einmal eine .dll ins Temp Verzeichnis muss und dann auch noch eine Datei umbenannt werden muss gehe ich nicht davon aus, dass das in der Praxis beim Otto-Normal-User große Anwendung findet.

 

[habla2k]

Früher gab es einen Komptaktmodus, mit dem letzten Update ist der aber verschwunden, ich habe mehrfach alles durchgeschaut und konnte keine Option finden. Es ist schon total umständlich überhaupt die Einstellungen zu finden.

 

[owned_you]

und ohne die Dumpfbacke vor der Tastatur ist auch diese Lücke so harmlos wie ein zahnloser Tiger! Also jeder bekommt nur wieder das was er verdient!

 

[Brandkanne]

Ich wünschte mir von dieser Nachricht auf ComputerBase, dass darauf eingegangen wird, ob alle Versionen von Skype (UWP, Desktop, ...) betroffen sind und wie man das Risiko (außer dem Deinstallieren) minimieren kann.

 

[Smagjus]

Gibt es nicht immer irgendeine Privilege Escalation unter Windows? Bin jetzt nicht so besorgt wegen der Lücke, da hier ja scheinbar noch etwas Vorarbeit nötig ist.

Was mir im Artikel fehlt sind Workarounds. Reicht es Skype abzuschalten, muss man den Updatedienst abstellen oder ist es am Ende notwendig Skype komplett zu deinstallieren?

 

[jo89]

Die Ansicht lässt sich doch unter *Anzeige -> Einzelfensteransicht / Geteilte Fensteransicht* auf diesen kompakten Modus ändern?!
Zumindest bei der Desktopversion.

 

[Caramelito]

Langsam könnten wir anfangen zu berichten welche App od Hardware keine Sicherheitslücke hat ;-)

 

[Computerfuchs]

Etwas genauere Infos wären nett. Gibt ja immerhin mit App und klassischer Desktopversion zwei komplett verschiedene Installationsmöglichkeiten. Und dann ist auch noch fraglich, wie man die Sicherheitslücke ausnutzen kann. Muss der Angreifer als Freund in der Kontaktliste stehen, oder läuft das z.B. über ein kompromittiertes Wlan und hat mit den Kontakten gar nichts zu tun? Fragen über Fragen...

Letztlich ist es mir auch relativ egal. Discord ist so oder so besser als Skype, Telegram gibt es auch noch und theoretisch auch Whatsapp (wobei ich das nicht nutze). Mehr als genug bessere Alternativen. Skype nervt in letzter Zeit nur noch. Auch ohne Sicherheitslücken.

 

[dienst]

Genau, würde mich auch interessieren, ob der "alte" und der "neue" Skype-Client betroffen ist. Und weshalb lädt der Skype Updater eine DLL aus einem Temp-Ordner vom Browser. Sie müsste doch im Ordner des Skype Updaters liegen - und da muss sie erstmal hingelangen.

 

[FrAGgi]

Ein weiterer Grund für mich Skype zu entfernen. Alleine schon diese dubiose Werbung die da immer im Client eingeblendet wird ist eigentlich ein Witz ...
Edit: Okay, es betrifft ja nur den Skype-Messenger. Da sollte ich wohl zuerst genauer lesen

(...)Wobei die IT-Abteilungen oft ja generell sparsam sind mit Updates.

Was nicht an der IT-Abteilung liegen muss, wenn für Updates neue Lizenzen fällig werden würden für die kein Budget erübrigt wird

 

[mkdr]

Versteh ich nicht so ganz. Sollten/sind Microsoft Dateien nicht digital signiert? Einfache Hash Prüfung der Datei?

 

[Retro-3dfx-User]

Ist man auch betroffen wenn man Skype rein über den Browser innerhalb seines Hotmail "Emailsystems" nutzt, weil ich Installiere mir das nicht seperat, aber ein paar Leute hab ich da ab und zu im Chat.

 

[der Unzensierte]

Aua, da werden unsere Admins aber nett zu tun bekommen - hoffentlich werden die schlau und wechseln wieder zurück auf Jabber. Das war mir eh sympathischer.

 

[Smartbomb]

Ganz ehrlich? Nach der Überschrift dachte ich mir, es kommt die news dass eine(?) Sicherheitslücke das Mitschneiden von Videosessions ermöglicht.
Und dann ich so: sowas entdecken die JETZT erst? Woher wohl die ganzen privaten Sex und "webcam" Videos auf den Pornoseiten kommen
Jaja, die die halt nicht gefaked sind
MfG

 

[h00bi]

Ein weiterer Grund für mich Skype zu entfernen. Alleine schon diese dubiose Werbung die da immer im Client eingeblendet wird ist eigentlich ein Witz ...

Skype 8 hat keine Werbebanner mehr.

Ergänzung (15. Februar 2018)

http://seclists.org/fulldisclosure/2018/Feb/33

2017-10-27 reply from vendor's case manager:

"The engineers provided me with an update on this case.
They've reviewed the code and were able to reproduce
the issue, but have determined that the fix will be
implemented in a newer version of the product rather
than a security update. The team is planning on shipping
a newer version of the client, and this current version
will slowly be deprecated. The installer would need a
large code revision to prevent DLL injection, but all
resources have been put toward development of the new
client."

Die "current version" zum damaligen Zeitpunkt war Skype 7.
Skype 8 sollte also tatsächlich die "newer version of the client" sein, die etwa einen Monat nach diesem Statement veröffentlicht wurde.

 

[Photon]

Ich frage mich, welche DLL fürs DLL-Hijacking unter Linux verwendet werden soll (Tipp: Es gibt unter Linux keine DLLs). Version 7 erschien übrigens nie für Linux, da ging es von Version 5 direkt auf Version 8.

 

[Jesterfox]

Es gibt auch unter Linux "DLL"s, sie werden nur nicht durch diese Endung gekennzeichnet (sondern normalerweise mit ".so"). Aber das Kürzel steht einfach nur für Dynamic Link Library, also Bibliotheken die dynamisch gelinkt werden und die gibt's auch unter Linux.

 

[Photon]

Ja richtig, allerdings kenne ich speziell die Bezeichnung DLL nur in Bezug auf die Windows-Variante (mit entsprechender Dateiendung). Und ich frage mich, ob das Hijacking mit .so-Dateien unter Linux genauso durchgeht, wie mit .dll-Dateien unter Windows. Ich spreche gar nicht erst davon, dass der Update Installer, in dem der Fehler sitzen soll, in der Linux-Version gar nicht vorhanden ist.