Skype je ranjiv na Nasty Exploit Prebacite se na Windows Store verziju

Ako je računalna verzija Skypea na vašem računalu sa sustavom Windows, podložni ste stvarno gadnom iskorištavanju. Pogreška u Skypeovom alatu za ažuriranje mogla bi napadačima dati potpunu kontrolu nad vašim sustavom, a Microsoft kaže da neće biti nikakvog popravka..

Srećom, možete potpuno izbjeći problem zamjenom "desktop" verzije Skypea s onom dostupnom iz Microsoftove trgovine. Ipak, to je neugodno za Microsoftov softver da ima slabost ovog temeljnog, a eksploat u pitanju je da je Redmond upozorio druge programere o više puta.

Evo što ovaj exploit funkcionira i kako možete provjeriti koristite li sigurnu verziju programa Windows Store.

Što je sa Skype-om?

Ažuriranje softvera bi vas trebalo održavati sigurnim, ali ironično u slučaju Skypea, ažuriranje je problem. To je zato što ovdje greška nije u samom Skype-u, nego je alat koji Skype koristi za pronalaženje i instaliranje ažuriranja. Ovaj alat za ažuriranje ranjiv je na DLL hjjacking, kako ističe istraživač Stefan Kanthak:

Ova izvršna datoteka ranjiva je na DLL otmicu: ona učitava barem UXTheme.dll iz svog aplikacijskog direktorija% SystemRoot% Temp umjesto iz Windowsovog direktorija sustava. Nepovlašteni (lokalni) korisnik koji može postaviti UXTheme.dll ili bilo koji drugi DLL koji učita ranjiva izvršna datoteka u% SystemRoot% Temp dobiva eskalaciju privilegija na računu SYSTEM.

U osnovi, Skype pokreće DLL-ove iz mape Temp, kojoj korisnici mogu pristupiti bez administratorskih prava. To ga čini trivijalnim za loše glumce da prebace DLL-ove i steknu kontrolu na razini sustava nad vašim računalom. To je vrsta ranjivosti koju Microsoft posebno upozorava programere da izbjegnu, ali Microsoftov tim Skype-a izgleda da je propustio taj memorandum.

I postaje još gore. Microsoft je rekao Kanthaku da su "uspjeli reproducirati problem", ali neće biti izdane zakrpe za rješavanje problema. Umjesto toga, Microsoft planira riješiti problem tijekom sljedećeg velikog izdanja Skypea - nije jasno kada će to biti.

To nije ... idealno. Srećom, postoji alternativa.

Rješenje: Koristite verziju Windows Store

Microsoft nudi dvije verzije programa Skype za Windows: verziju "Desktopa", koja je prisutna već godinama, i verziju univerzalne Windows platforme (UWP), koju možete preuzeti iz aplikacije Microsoft Store u paketu s Windowsima. Samo je verzija na radnoj površini ranjiva na ovaj određeni izum, jer samo desktop verzija koristi vlastiti alat za ažuriranje.

Microsoft je neko vrijeme gurao korisnike na verziju Skypea tvrtke Microsoft Store: na primjer, stranica za preuzimanje Skypea usmjerava korisnike na trgovinu. No, mnogi korisnici još uvijek imaju verziju za stolna računala na svojim sustavima, a trebali bi ih deinstalirati i koristiti samo verziju Storea ako žele ostati sigurni od ovog izrabljivača.

Kako možete odrediti koju verziju imate? Najjednostavniji način je da potražite "Skype" u izborniku Start. Ako vidite riječi "Trusted Microsoft Store app" ispod Skypeova imena, vjerojatno ste pokriveni.

Dvije aplikacije također izgledaju potpuno drugačije. Evo "desktop" verzije:

Ako vaš Skype izgleda ovako, ranjivi ste na iskorištavanje. Trebali biste deinstalirati Skype, a zatim preuzeti verziju Microsoftove trgovine.

Evo verzije Microsoftove trgovine:

Ako vaš Skype izgleda ovako, sigurni ste: ažuriranja za ovu verziju obrađuju se pomoću Microsoftove trgovine, tako da ranjivost nije relevantna.

Nažalost, Microsoft neće samo zakrpati ovu ranjivost, ali barem postoji radna verzija Skypea koja je zaključana. Iako će sučelje i značajke verzije Microsoft Storea biti prilagodba, stvari poput pozivanja i razgovora dobro funkcioniraju u našim testovima, čak i ako sučelje nudi manje mogućnosti. I hej: u verziji trgovine nema ružnih oglasa, pa je to plus.