Przyzwyczailiśmy się do tego, że jak w danym oprogramowaniu zostanie odkryta dziura związana z bezpieczeństwem, to firma odpowiedzialna za dany program jak stara się jak najszybciej przystosować stosowną łatkę. Jednak Microsoft stwierdził, że nie jest w stanie szybko dostarczyć aktualizacji rozwiązującej problem z dziurą znalezioną w systemie aktualizacji aplikacji Skype.
Problem został odkryty przez Stefana Kanthaka, który o swoim odkryciu od razu poinformował Microsoft. Jednak było to we wrześniu zeszłego roku, a dziura nie została do tej pory załatana. Dlatego też informacja o znanym błędzie została podana do opinii publicznej, żeby użytkownicy komunikatora Skype byli świadomi istniejącego zagrożenia. Problem dotyczy mechanizmu aktualizacji aplikacji, który korzysta z biblioteki DLL przechowywanej w folderze aplikacji. Przez to możliwa jest podmiana pliku DLL na taki, który pozwali hackerowi na uzyskanie uprawnień systemowych, które są wyższe od użytkownika z uprawnieniami administratora. Microsoft z powodzeniem powtórzył opisaną przez Stefana Kanthaka metodę ataku.
Microsoft ma problem z naprawieniem dziury w komunikatorze Skype
Analiza zgłoszonego problemu wykazała, że jego załatanie wymaga gruntownej przebudowy aplikacji. Dlatego też Microsoft podjął decyzje, że dziura zostanie załatana dopiero przy okazji większej aktualizacji oprogramowania i nie zostanie wydana mniejsza aktualizacja zawierająca jedynie łatę bezpieczeństwa. Gigant z Redmond woli, żeby jego programiści skupili się nad nowym klientem. Niestety problem nie ogranicza się jedynie do Skype dla systemów z rodziny Windows. Odkryta podatność typu DLL hijacking może zostać również wykorzystana w systemach macOS oraz Linux. Zastanawia mnie, czy Microsoft zmieni swoją decyzję po tym, jak informacja o luce została upubliczniona oraz nagłośniona przez media.
Źródło: ZDNet
