Zraniteľnosti DoS a poškodenia pamäte nájdené v aplikácii Skype Empresarial v16.0.10730.20053

Skype: Platforma pre videohovory, chatovanie a obchodnú komunikáciu

Zraniteľnosť odmietnutia služby sa zistila vo Skype Empresarial Office 365 verzie 16.0.10730.20053. Prvýkrát to objavil Samuel Cruz 20. dňa^thz augusta 2018. Podľa informácií, ktoré predložil Cruz, bola táto konkrétna chyba zabezpečenia testovaná až vo verzii 16.0.10703.20053 programu Skype Empresarial. Ďalej bol testovaný na platforme španielskeho domáceho operačného systému Windows 10 Pro x64. Zatiaľ nie je známe, či táto zraniteľnosť ovplyvňuje aj iné verzie aplikácie Skype Empresesarial a či iná pôsobí na určené ovplyvnené verzie aj v iných operačných systémoch / verziách.

Podľa informácií, ktoré Cruz objasnil, k zrážke dôjde nasledovne. Najskôr musíte spustiť kód pythonu: python SkypeforBusiness_16.0.10730.20053.py. Ďalej musíte otvoriť SkypeforBusiness.txt a skopírovať obsah súboru do schránky zariadenia. Po dokončení tohto kroku by ste mali Skype for Business spustiť ako obvykle a prilepiť z textového súboru to, čo ste predtým skopírovali do schránky. Po vložení to spôsobí odmietnutie zlyhania systému v zariadení, čo spôsobí, že Skype prestane fungovať a pri akejkoľvek manipulácii zlyhá.

Nevypovedaný príbeh chyby poškodenia pamäte v aplikácii Skype https://t.co/ykyHPll81q #kyber ochrana pic.twitter.com/jqoHY3kIAD

- Angelo G Longo (@aglongo) 5. septembra 2018

Okrem tejto chyby sa len pred pár hodinami zistilo, že softvér má chybu, vďaka ktorej môžu údaje a mediálny obsah zdieľaný medzi dvoma používateľmi skype spôsobiť zlyhanie aplikácie. To znamená, že rovnakú chybu zabezpečenia je možné zneužiť na diaľku, ak používateľ so zlým úmyslom pošle falšované súbory prostredníctvom aplikácie inému používateľovi, čo spôsobí rovnaký druh odmietnutia služby prostredníctvom poškodenia pamäte. Zistilo sa, že táto druhá zraniteľnosť poškodenia pamäte ovplyvňuje Skype pre linux: skypeforlinux_8.27.0.85_amd64.deb.

Táto vyššie opísaná vzdialene využiteľná chyba v programe Skype vyžaduje, aby útočník so škodlivým kódom spojil hovor s používateľom obete a potom súčasne odoslal škodlivé súbory cez službu zasielania správ platformy. V prípade lokálne zneužiteľnej zraniteľnosti pythonu aj diaľkovo zneužiteľnej poruchy fungujúcej na rovnakom princípe zatiaľ nie sú k dispozícii žiadne zmierňujúce pokyny ani rady. Pokiaľ ide o tento problém, spoločnosť Microsoft zatiaľ nevydala žiadne vyhlásenie.