Skype on haavoittuva Nasty Exploit -vaihtoehdolle Windows Store -versiolle
Jos Skypen työpöytäversio on Windows-tietokoneessasi, olet haavoittuvainen todella tuhoisalle hyödyntämiselle. Skypen päivitystyökalun virhe saattaa antaa hyökkääjille täyden hallinnan järjestelmästäsi, ja Microsoft sanoo, että pian ei ole korjausta.
Onneksi voit välttää ongelman kokonaan korvaamalla Skypen "työpöydän" version Microsoft Storesta saatavan version. Microsoftin omalle ohjelmistolle on kuitenkin hämmentävää, että sillä on heikkous, ja kyseinen hyödyntäminen on yksi Redmond varoittanut muita kehittäjiä monta kertaa.
Tässä hyödynnetään, ja miten voit varmistaa, että käytät Skypen turvallista Windows Storen versiota.
Mikä on Skypen käytössä?
Ohjelmiston päivittämisen on tarkoitus pitää sinut turvassa, mutta ironisesti Skypen tapauksessa päivitys on ongelma. Tämä johtuu siitä, että virhe tässä ei ole Skypen itsensä kanssa, vaan pikemminkin Skypen työkalu päivitysten löytämiseen ja asentamiseen. Tämä päivitystyökalu on alttiina DLL-hjjackingille, koska tutkija Stefan Kanthakin ääriviivat:
Tämä suoritettava tiedosto on alttiina DLL-kaappaukselle: se lataa vähintään UXTheme.dll-sovelluksen hakemistosta% SystemRoot% Temp sen sijaan, että se olisi Windows-järjestelmän hakemistosta. Epäoikeutettu (paikallinen) käyttäjä, joka pystyy sijoittamaan UXTheme.dll: n tai minkä tahansa muun haavoittuvan suoritettavan ladattavan DLL: n% SystemRoot% Temp -käyttöjärjestelmässä, saa etuoikeuden laajenemisen SYSTEM-tiliin.
Pohjimmiltaan Skype käyttää DLL-tiedostoja Temp-kansiosta, jonka käyttäjät voivat käyttää ilman järjestelmänvalvojan oikeuksia. Tämä tekee vähäpätöiseksi huonojen toimijoiden kytkemiseksi pois DLL-laitteista ja saada järjestelmän tason hallinnan tietokoneellesi. Se on sellainen haavoittuvuus, jota Microsoft varoittaa kehittäjiä välttämästä, mutta Microsoftin Skype-tiimi näyttää jääneen huomiotta.
Ja se pahenee. Microsoft kertoi Kanthakille, että he pystyivät toistamaan ongelman, mutta ongelma ei ratkea. Sen sijaan Microsoft aikoo ratkaista ongelman Skypen seuraavan suuren julkaisun aikana - se ei ole selvää, milloin se tulee.
Se ei ole ihanteellinen. Onneksi on olemassa vaihtoehto.
Ratkaisu: Käytä Windows Storen versiota
Microsoft tarjoaa kaksi Windows-versiota: "Desktop" -versio, joka on ollut käytössä jo vuosia, ja Universal Windows Platform (UWP) -versio, jonka voit ladata Windows-sovelluksen mukana toimitetusta Microsoft Storen sovelluksesta. Vain työpöydän versio on haavoittuva tälle tietylle hyödyntämiselle, koska vain työpöydän versio käyttää omaa päivitystyökalua.
Microsoft on ajaa käyttäjiä Skypen Microsoft Store -versioon jonkin aikaa: Skype-lataussivu ohjaa käyttäjät esimerkiksi myymälään. Monilla käyttäjillä on kuitenkin edelleen työpöytäversio järjestelmissään, ja niiden pitäisi poistaa se ja käyttää vain Store-versiota, jos he haluavat pysyä turvassa tästä hyväksikäytöstä.
Miten voit kertoa, mikä versio sinulla on? Yksinkertaisin tapa on etsiä “Skype” käynnistysvalikosta. Jos näet sanat ”Trusted Microsoft Store -sovellus” Skypen nimen alla, olet luultavasti katettu.
Kaksi sovellusta näyttävät myös täysin erilaisilta. Tässä on työpöydän versio:
Jos Skype näyttää tältä, olet haavoittuva. Skype on poistettava ja lataa Microsoft Store -versio.
Tässä on Microsoft Storen versio:
Jos Skype näyttää tältä, olet turvallinen: tämän version päivitykset käsitellään Microsoft Storen avulla, joten haavoittuvuus ei ole merkityksellinen.
On valitettavaa, että Microsoft ei vain korjaa tätä haavoittuvuutta, mutta ainakin siellä on Skypen työversio, joka on lukittu. Ja vaikka Microsoft Storen käyttöliittymä ja -ominaisuudet ovat säätöjä, esimerkiksi puhelu- ja keskustelutyö toimii hienosti testeissä, vaikka käyttöliittymä tarjoaa vähemmän vaihtoehtoja. Ja hei: Store-versiossa ei ole rumia mainoksia, joten se on plus.
