[NEWS] Skype 'file://' URI Handler Bypass Remote Code Execution Vulnerability

[c.m.g]

04 giugno 2008

Security Focus riporta un bollettino di sicurezza (29553) riguardante Skype in cui si spiega che è stata trovata una vulnerabilità di classe Design Error che esporrebbe il computer di un utente ignaro ad attacchi di tipo code-execution (esecuzione non autorizzata di codice arbitrario).

Un attacker può sfruttare questa falla per eseguire codice arbitrario malevolo con i privilegi nei quali è stato caricato il programma affetto dal bug.
Lo sfruttamento con successo può permettere la compromissione del sistema in cui gira l'applicazione buggata e la possibilità che il computer venga preso in completo controllo dal malintenzionato.

Le versioni vulnerabili sono le antecedenti la 3.8.0.139, più nello specifico:

Skype Technologies Skype 3.6 .244
Skype Technologies Skype 3.6 .216
Skype Technologies Skype 3.8.0.115
Skype Technologies Skype 3.6
Skype Technologies Skype 3.5


Versioni non vulnerabili:

Skype Technologies Skype 3.8.0.139


Soluzione:
Il produttore ha rilasciato una patch, fare riferimento a questa pagina per maggiori info.

Bug scoperto da:

Ismael Briones


Fonte: SecurityFocus

[c.m.g]

ripreso da secunia:

http://secunia.com/advisories/30547/