Skype'taki bir güvenlik hatası, bir saldırganın bilgisayarlarda sistem düzeyinde ayrıcalık kazanmasına izin verebilir
2 dk. okuman
Yayınlandı
Bu makaleyi paylaş
Bu kılavuzu geliştirin
MSPoweruser'ın editör ekibini ayakta tutmasına nasıl yardımcı olabileceğinizi öğrenmek için açıklama sayfamızı okuyun. Daha fazla
Windows masaüstü için Skype'ta dün yeni bir güvenlik açığı ortaya çıktı. Skype masaüstü uygulaması, Skype uygulamasını güncel tutmak için düzenli aralıklarla çalışan kendi güncelleyici aracıyla birlikte gelir. Bir güncelleme mevcut olduğunda, Güncelleyici aracı başka bir yürütülebilir dosyayı “%SystemRoot%\Temp\SKY.tmp” olarak kopyalar/çıkarır ve komut satırını kullanarak yürütür.
“%SystemRoot%\Temp\SKY.tmp” /SESSİZ. Bir güvenlik araştırmacısının sahip olduğu bulundu Bu çalıştırılabilir DLL kaçırma savunmasız.
En azından UXTheme.dll'yi Windows'un sistem dizini yerine %SystemRoot%\Temp\ uygulama dizininden yükler. UXTheme.dll'yi veya güvenlik açığı bulunan yürütülebilir dosya tarafından yüklenen diğer DLL'lerden herhangi birini %SystemRoot%\Temp\ dizinine yerleştirebilen ayrıcalıksız (yerel) bir kullanıcı, SYSTEM hesabına ayrıcalık artışı kazanır.
Bu güvenlik açığı Microsoft'a bildirildi ve Microsoft'un yanıtı oldukça üzücü. Microsoft, Skype Updater aracını güncellemeyi planlamıyor, bunun yerine bu düzeltmeyi Skype uygulamasının daha yeni bir sürümünde yayınlayacak.
Ekip, müşterinin daha yeni bir sürümünü göndermeyi planlıyor ve bu mevcut sürüm yavaş yavaş kullanımdan kaldırılacak.
Mevcut Skype uygulaması, yukarıda açıklanan DLL enjeksiyonunu önlemek için büyük bir kod revizyonuna ihtiyaç duyacağından, Microsoft bunu düzeltmemeye karar verdi. Ancak Microsoft, tüm kaynakların yeni istemcinin geliştirilmesine ayrıldığından bahsetti. Skype UWP uygulaması bu güvenlik açığından etkilenmez.
