مایکروسافت میگوید برای رفع مشکل امنیتی اسکایپ به بازنگری اساسی در کدنویسی برنامه نیاز دارد.
یک ضعف امنیتی در فرآیند بهروزرسانی اسکایپ وجود دارد که سیستم را با خطر امنیتی روبهرو میکند و دسترسی سیستمی در اختیار هکر قرار میدهد. هکرها در صورت استفاده از این باگ میتوانند به تمام بخشهای سیستمعامل دسترسی کامل داشته باشند.
مایکروسافت که صاحب این سرویس مکالمهی صوتی و تصویری است، اذعان داشته که از چون رفع این نقیصه کار زیادی میبرد، قادر به رفع سریع آن نیست.
استفان کنتاک، محقق حوزهی امنیت، چندی پیش متوجه شد نصبکنندهی بهروزرسانی اسکایپ با یک تکنیک سرقت DLL قابل نفوذ است. با این تکنیک، هکر میتواند یک اپلیکیشن را بهگونهای فریب دهد که بهجای استفاده از فایل سیستمی، از کدهای آلوده استفاده کند. با این شیوه، هکر میتواند یک فایل DLL مخرب را به پوشهای موقت که توسط کاربر قابل دسترسی است منتقل کند و سپس آن را به فایل DLL موجودی که توسط کاربر قابل ویرایش نیست مثل UXTheme.dd تغییر نام دهد. این تکنیک جواب میدهد؛ چرا که وقتی نرمافزار فایل DLL مورد نیاز را جستجو میکند، ابتدا فایل مخرب پیدا میشود.
وقتی اسکایپ را نصب میکنید، این نرمافزار برای بهروزرسانی از آپدیتر داخلی خود استفاده میکند. وقتی این آپدیتر به اجرا درمیآید، از یک فایل اجرایی دیگر جهت انجام بهروزرسانی استفاده میکند که همین موضوع آن را در معرض خطر نفوذ قرار میدهد.
به گفتهی کنتاک بهسادگی و با چند خط کدنویسی میتوان فایل DLL مخرب را به پوشهی موقت ذکرشده منتقل کرد. در ویندوز راههای زیادی برای انجام این کار وجود دارد؛ اما این خطر تنها متوجه ویندوز نیست و مک و لینوکس نیز در معرض آن قرار دارند. کنتاک میگوید:
وقتی فرد متجاوز دسترسی سیستمی به دست بیاورد، میتواند هر کاری انجام دهد؛ یعنی فایلهای موجود در رایانه را سرقت کند، دادهها را حذف کند و ... .
کنتاک در ماه سپتامبر سال گذشته، موضوع را به اطلاع مایکروسافت رساند؛ اما غول دنیای نرمافزار میگوید برطرف کردن این حفرهی امنیتی نیاز به بازنگری اساسی در کدنویسی آپدیتر دارد.
این شرکت به کنتاک گفته است که هرچند میتواند مشکل را رفع کند؛ اما این رفع اشکال در نسخهای جدید اعمال خواهد شد و صرفا از طریق یک بهروزرسانی امنیتی قابل اعمال نیست.