[Aleksandr58]

«Уязвимость есть, исправлять не будем»

Исследователь Стефан Кентак выявил серьезную уязвимость Skype. Она позволяет злоумышленникам повысить права пользователя до уровня system, что автоматически означает возможность полного контроля над устройством. Эксплуатация уязвимости требует атаки с подменой DLL-библиотек в процессе обновления программы. Дело в том, что Skype обладает встроенным механизмом обновления, в котором и коренится проблема. В процессе обновления хакер в состоянии выдать вредоносный код за необходимую DLL-библиотеку, переименовав его и разместив в соответствующей временной папке. После исполнения кода организаторы атаки могут похищать любые данные, удалять информацию или загружать дополнительное вредоносное ПО.

Стефан Кентак отмечает, что атака легко может быть осуществлена на устройствах с ОС Windows, но потенциально она угрожает также и пользователям Skype для macOS и Linux. Примечательно, что исследователь уведомил об уязвимости корпорацию Microsoft (которой и принадлежит Skype) еще в сентябре прошлого года. Однако представители Microsoft, признав наличие проблемы, заявили, что не будут выпускать обновление для ее ликвидации. По их словам, такое обновление потребует «пересмотра значительной части кода». Вместо этого Microsoft направит все усилия разработчиков на создание новой версии приложения, где и будет устранена уязвимость.