Microsoft findet Sicherheitspatch für Skype zu aufwendig

Im Update-Mechanismus des Messengers Skype klafft eine Schwachstelle – dabei ist eine involvierte ausführbare Datei für DLL-Hijacking anfällig. Das könnte ein Einfallstor für Angreifer sein, um sich, wenn die Voraussetzungen stimmen, Systemrechte auf einem Windows-Computer zu erschleichen. Davor warnt ein Sicherheitsforscher in der Mailingliste Seclists.

Eigenen Angaben zufolge hat er Microsoft bereits im September vergangenen Jahres darüber informiert. Ende Oktober erhielt er die Antwort, dass Microsoft den Fehler nachvollziehen konnte. Derzeit würden aber alle Ressourcen in der Entwicklung eines neuen Skype-Clients fließen, sodass die Entwickler die zum Schließen der Lücke notwendigen umfangreichen Code-Anpassungen nicht vornehmen können.

Attacke nicht ohne Weiteres möglich

Um die Lücke auszunutzen, müsste ein Angreifer lokal die vom Skype-Updater verwendete Programmbibliothek UXTheme.dll gegen eine manipulierte Version austauschen. Diese Datei liegt dem Sicherheitsforscher zufolge in %SystemRoot%\Temp\. Wie c't schon 2015 berichtete, funktioniert der Zugriff auf geschützten Bereiche des Dateisystems aber nur mit Admin-Rechten.

Obacht: Wenn ein Admin die Frage des Explorers ein Mal mit "Ja" bestätigt hat, ist der Zugriff dauerhaft für diesen Ordner freigegeben. Erst dann könnte auch ein wie vom Sicherheitsforscher beschriebener nicht privilegierter Nutzer die DLL ersetzen. Klappt der DLL-Tausch und der Skype-Updater lädt die Datei, soll ein Angreifer über Systemrechte verfügen.

[UPDATE 16.02.208 10:00 Uhr]

Die Schwachstelle klafft in allen Skype-Versionen bis einschließlich 7.40. Bereits im Oktober 2017 veröffentlichte Microsoft Ausgabe 8, in der die Schwachstelle geschlossen ist. Das teilte das Unternehmen nun mit. (des)