Новая уязвимость безопасности была обнаружена в программном обеспечении Microsoft, на этот раз в версии рабочего стола Windows скайпа приложения мгновенного обмена сообщениями.

Исследователь безопасности Vulnerability Lab Бенджамин Канз Мейри объясняет, что буфер стека переполняет ошибку, которая зарегистрирована в CVE-2017-9948, существует в версиях 7.2, 7.35 скайпа, и 7.36.

Худшая вещь состоит в том, что это не требует пользовательского взаимодействия, и нападавший может разбить применение или даже выполнить вредоносный код на целевой системе, управляющей уязвимой версией скайпа.

Согласно отчету об уязвимости, это - все из-за ошибки безопасности в библиотеке MSFTEDIT.DLL, которая может эксплуатироваться нападавшим, копируя злонамеренный файл изображения к клипборду и затем приклеивая его в окне разговора в скайпе. Как только фотография сохранена и на отдаленном и на местных системах, скайп испытывает переполнение буфера стека, терпя крах и затем оставляя дверь открытой для большего количества деяний.

Участок выкатил 8 июня

“Успешный сценарий нападения не ограничен ручной эксплуатацией только. Нападавшие могут в местном масштабе подготовить тайник и клипборд компьютерной системы, чтобы эксплуатировать связанную отдаленную партийную компьютерную систему, используя скайп”, объясняет исследователь безопасности в отчете об уязвимости.

“Эксплуатация буферной уязвимости программного обеспечения переполнения не требует никакого пользовательского взаимодействия и только низкой учетной записи пользователя скайпа привилегии. Успешная эксплуатация буферной уязвимости переполнения приводит к системе и компромиссу процесса переписыванием регистров”.

Microsoft уже исправила ошибку в версии 7.37.178 скайпа, и пользователям рекомендуют установить эту версию как можно скорее, чтобы удостовериться, что они не являются целью нападений на основе этой уязвимости. Участок был реализован 8 июня.

На данном этапе нет никаких сообщений об успешных нападениях, включающих эту уязвимость, учитывая, что о недостатке конфиденциально сообщили, но после общественного раскрытия 26 июня, очень важно для пользователей скайпа обновить программное обеспечение как можно скорее. Только Версия для Windows затронута.