Sicherheitsproblem in Skype verunsichert Mac-Anwender

Seit Anfang April weiß Skype um ein schwerwiegendes Sicherheitsproblem im Mac-Client des beliebten Mitteilungsdienstes. Der australische Sicherheitsexperte Gordon Maddern von Pure Hacking hatte durch Zufall eine Möglichkeit gefunden, den Client eines Kollegen aus der Ferne zum Absturz zu bringen. Im einem Blog-Eintrag von gestern schreibt er weiter, er habe nach einigen Tagen des Forschens einen Weg gefunden, durch diese Lücke Zugriff auf den entfernten Mac zu erlangen und so eine Terminal-Sitzung zu starten.

Maddern beklagt, Schwierigkeiten beim Auffinden eines kompetenten Ansprechpartners bei Skype gehabt und schließlich bloß eine Standard-E-Mail erhalten zu haben, in der ihm die Berücksichtigung seiner konkreten Meldung mit dem nächsten Update in Aussicht gestellt wurde. "Das war vor über einem Monat und bislang ist kein Update veröffentlicht worden", so der Hacker weiter.

Wenige Stunden später hat Skype seinerseits mit einem Blog-Eintrag geantwortet: Doch – bereits am 14. April habe man das Problem mit einem Hotfix beseitigt, so schreibt Adrian Asher, nämlich mit Skype for Mac in Version 5.1.0.922. Diese Version trägt allerdings tatsächlich als Erstellungsdatum den 7. April. "Da keine Berichte über die Ausnutzung der Lücke vorliegen, haben wir unsere Anwender nicht aufgefordert, diese Aktualisierung zu installieren." Erst bei dem für kommende Woche vorgesehenen größeren Update sollen sich die Clients auf den Anwender-Macs melden und bei ihren Besitzer die Programmaktualisierung erbitten. Trotzdem empfiehlt der Firmensprecher die Installation des Updates, das ginge auch über den Befehl "Auf Aktualisierung prüfen..." in der Anwendung selbst.

Entdecker Maddern beschreibt – ohne Details zu nennen – die Sicherheitslücke als hochkritisch: Eine kurze Nachricht via Skype genüge, um Kontrolle über den angechatteten Mac zu erlangen. Dies sei auch in Form eines Wurms realisierbar und dann sehr gefährlich. Skype selbst wiegelt ab: Wer die Standard-Einstellungen für die Privatsphäre nicht unschärfer geschaltet habe, könne von unbekannten Personen solche Nachrichten unaufgefordert gar nicht erhalten.

Skype-Anwender unter Windows oder Linux müssen sich um dieses Problem nicht sorgen, ebenfalls nicht die Mac-Anwender, die noch die deutlich schlankere 2.x-Version einsetzen. Ob bereits das April-Update der Mac-5er-Version die Lücke wirklich schließt oder erst das für kommende Woche angekündigt, bleibt vorerst offen, Pure Hacking schweigt über die Details der Machbarkeitsstudie. Betroffene Anwender handeln mit der Aktualisierung sicherlich nicht verkehrt und sollten in den Einstellungen zur Privatsphäre Nachrichten nur von Kontakten in der Kontaktliste zulassen. (olm)