Sicherheitslücken in DoS & Memory Corruption in Skype Empresarial v16.0.10730.20053 gefunden

Skype: Plattform für Videoanrufe, Chats und Geschäftskommunikation

In der Skype Empresarial Office 365-Version 16.0.10730.20053 wurde eine Denial-of-Service-Sicherheitsanfälligkeit festgestellt. Es wurde zuerst von Samuel Cruz am 20 entdeckt^thvom August 2018. Nach den von Cruz vorgelegten Informationen wurde diese besondere Sicherheitsanfälligkeit nur in Version 16.0.10703.20053 von Skype Empresarial getestet. Darüber hinaus wurde es auf der spanischen Windows 10 Pro x64-Plattform für Heimbetriebssysteme getestet. Es ist noch nicht bekannt, ob diese Sicherheitsanfälligkeit auch andere Versionen von Skype Empresesarial betrifft und ob andere auf die ermittelten betroffenen Versionen auch auf anderen Betriebssystemen / Versionen wirken.

Nach den Informationen, die Cruz beleuchtet, tritt der Absturz wie folgt auf. Zunächst müssen Sie den Python-Code ausführen: Python SkypeforBusiness_16.0.10730.20053.py. Als Nächstes müssen Sie die Datei SkypeforBusiness.txt öffnen und den Inhalt der Datei in die Zwischenablage Ihres Geräts kopieren. Nachdem dieser Schritt abgeschlossen ist, sollten Sie Skype for Business wie gewohnt starten und das, was Sie zuvor aus der Textdatei in die Zwischenablage kopiert haben, einfügen. Sobald dies eingefügt ist, wird der Systemabsturz auf dem Gerät verweigert, sodass Skype nicht mehr funktioniert und bei jeder Manipulation abstürzt.

Eine unerzählte Geschichte eines Speicherbeschädigungsfehlers in Skype https://t.co/ykyHPll81q #Onlinesicherheit pic.twitter.com/jqoHY3kIAD

- Angelo G Longo (@aglongo) 5. September 2018

Zusätzlich zu diesem Fehler wurde erst vor wenigen Stunden festgestellt, dass die Software einen Fehler aufweist, durch den Daten und Medieninhalte, die von zwei Skype-Benutzern gemeinsam genutzt werden, zum Absturz der Anwendung führen können. Dies bedeutet, dass dieselbe Sicherheitsanfälligkeit remote ausgenutzt werden kann, wenn ein böswilliger Benutzer solche gefälschten Dateien über die Anwendung an einen anderen Benutzer sendet, was zu derselben Art von Denial-of-Service-Reaktion durch Speicherbeschädigung führt. Diese zweite Sicherheitsanfälligkeit bezüglich Speicherbeschädigung wirkt sich auf Skype für Linux aus: skypeforlinux_8.27.0.85_amd64.deb.

Dieser oben beschriebene ausnutzbare Fehler in Skype erfordert, dass der böswillige Angreifer einen Anruf mit dem Benutzer des Opfers verbindet und gleichzeitig die schädlichen Dateien über den Messaging-Dienst der Plattform weiterleitet. Sowohl für die lokal ausnutzbare Python-Sicherheitsanfälligkeit als auch für die remote ausnutzbare Panne, die nach demselben Prinzip ausgeführt wird, sind noch keine Anweisungen oder Hinweise zur Schadensbegrenzung verfügbar. Bisher wurde von Microsoft noch keine Erklärung zu diesem Problem veröffentlicht.