مایکروسافت قادر به رفع سریع مشکل امنیتی اسکایپ نیست
مایکروسافت می‌گوید برای رفع مشکل امنیتی اسکایپ به بازنگری اساسی در کدنویسی برنامه نیاز دارد.
یک ضعف امنیتی در فرآیند به روزرسانی اسکایپ وجود دارد که سیستم را با خطر امنیتی رو به رو میکند و دسترسی سیستمی در اختیار هکر قرار می دهد. هکرها در صورت استفاده از این باگ می توانند به تمام بخش‌های سیستم عامل دسترسی کامل داشته باشند.
مایکروسافت که صاحب این سرویس مکالمه ی صوتی و تصویری است، اذعان داشته که از چون رفع این نقیصه کار زیادی می برد، قادر به رفع سریع آن نیست.
استفان کنتاک، محقق حوزه ی امنیت، چندی پیش متوجه شد نصب کننده ی به روزرسانی اسکایپ با یک تکنیک سرقت DLL قابل نفوذ است. با این تکنیک، هکر می تواند یک اپلیکیشن را به گونه ای فریب دهد که به جای استفاده از فایل سیستمی، از کدهای آلوده استفاده کند. با این شیوه، هکر می تواند یک فایل DLL مخرب را به پوشه ای موقت که توسط کاربر قابل دسترسی است منتقل کند و سپس آن را به فایل DLL موجودی که توسط کاربر قابل ویرایش نیست مثل UXTheme.dd تغییر نام دهد. این تکنیک جواب می دهد؛ چرا که وقتی نرم افزار فایل DLL مورد نیاز را جستجو می کند، ابتدا فایل مخرب پیدا می شود.
وقتی اسکایپ را نصب می کنید، این نرم افزار برای به روزرسانی از آپدیتر داخلی خود استفاده می کند. وقتی این آپدیتر به اجرا درمی آید، از یک فایل اجرایی دیگر جهت انجام به روزرسانی استفاده می کند که همین موضوع آن را در معرض خطر نفوذ قرار می دهد.
به گفته ی کنتاک به سادگی و با چند خط کدنویسی می توان فایل DLL مخرب را به پوشه ی موقت ذکرشده منتقل کرد. در ویندوز راه های زیادی برای انجام این کار وجود دارد؛ اما این خطر تنها متوجه ویندوز نیست و مک و لینوکس نیز در معرض آن قرار دارند. کنتاک می گوید:
وقتی فرد متجاوز دسترسی سیستمی به دست بیاورد، می تواند هر کاری انجام دهد؛ یعنی فایل‌های موجود در رایانه را سرقت کند، داده‌ها را حذف کند و ... .
کنتاک در ماه سپتامبر سال گذشته، موضوع را به اطلاع مایکروسافت رساند؛ اما غول دنیای نرم‌افزار می گوید برطرف کردن این حفره‌ی امنیتی نیاز به بازنگری اساسی در کدنویسی آپدیتر دارد.
این شرکت به کنتاک گفته است که هرچند می تواند مشکل را رفع کند؛ اما این رفع اشکال در نسخه‌ای جدید اعمال خواهد شد و صرفا از طریق یک به روزرسانی امنیتی قابل اعمال نیست.