Sicherheitslücke in VoIP-Software Skype entdeckt
Die beliebte VoIP-Software Skype, die kürzlich von Microsoft übernommen wurde, beinhaltet eine Sicherheitslücke, für die noch kein Patch zur Verfügung steht. Theoretisch erlaubt die Schwachstelle den Zugriff auf den Account eines Gesprächspartners.
Die Cross-Site-Scripting-Lücke, die auf 'Link veralten (gelöscht)' inklusive eines Proof-of-Concept beschrieben wird, existiert im Profil eines jeden Skype-Nutzers. Die Software überprüft nicht, welche Zeichen in das Feld für die Mobilfunkrufnummer eingegeben werden, so dass darüber Code eingeschleust werden kann. Meldet sich ein Benutzer mit einem derart modifizierten Profileintrag an, wird der Code bei allen Personen ausgeführt, die den potentiellen Angreifer auf ihrer Kontaktliste haben.
Laut dem Entdecker der Lücke, Levent Kayan, könnte die fehlende Überprüfung der Eingaben auch in den anderen Feldern des Skype-Profils ein Problem darstellen. Die Redaktion von 'heise Security' hat die Sicherheitslücke auf einem PC mit Windows 7 und Windows XP nachvollzogen. Dabei stellte man fest, dass das Problem unerklärlicherweise manchmal erst nach mehr als zehn Anmeldevorgängen auftrat.
Die Schwachstelle existiert in den aktuellen Skype-Versionen für Windows und Mac - die Linux-Ausgabe scheint nicht betroffen zu sein. Die Entwickler wurden bereits über das Problem in Kenntnis gesetzt, kommentierten es bislang jedoch nicht.
Quelle: winfuture
Die beliebte VoIP-Software Skype, die kürzlich von Microsoft übernommen wurde, beinhaltet eine Sicherheitslücke, für die noch kein Patch zur Verfügung steht. Theoretisch erlaubt die Schwachstelle den Zugriff auf den Account eines Gesprächspartners.
Die Cross-Site-Scripting-Lücke, die auf 'Link veralten (gelöscht)' inklusive eines Proof-of-Concept beschrieben wird, existiert im Profil eines jeden Skype-Nutzers. Die Software überprüft nicht, welche Zeichen in das Feld für die Mobilfunkrufnummer eingegeben werden, so dass darüber Code eingeschleust werden kann. Meldet sich ein Benutzer mit einem derart modifizierten Profileintrag an, wird der Code bei allen Personen ausgeführt, die den potentiellen Angreifer auf ihrer Kontaktliste haben.
Laut dem Entdecker der Lücke, Levent Kayan, könnte die fehlende Überprüfung der Eingaben auch in den anderen Feldern des Skype-Profils ein Problem darstellen. Die Redaktion von 'heise Security' hat die Sicherheitslücke auf einem PC mit Windows 7 und Windows XP nachvollzogen. Dabei stellte man fest, dass das Problem unerklärlicherweise manchmal erst nach mehr als zehn Anmeldevorgängen auftrat.
Die Schwachstelle existiert in den aktuellen Skype-Versionen für Windows und Mac - die Linux-Ausgabe scheint nicht betroffen zu sein. Die Entwickler wurden bereits über das Problem in Kenntnis gesetzt, kommentierten es bislang jedoch nicht.
Quelle: winfuture
