S'han trobat vulnerabilitats de corrupció en memòria i DoS a Skype Empresarial v16.0.10730.20053

Skype: videotrucada, xat i plataforma de comunicació empresarial

S'ha trobat una vulnerabilitat de denegació de servei a l'Skype Empresarial Office 365 versió 16.0.10730.20053. Va ser descobert per primera vegada per Samuel Cruz el 20^thd’agost de 2018. Segons la informació presentada per Cruz, aquesta vulnerabilitat particular només es va provar a la versió 16.0.10703.20053 de Skype Empresarial. A més, es va provar a la plataforma del sistema operatiu espanyol Windows 10 Pro x64. Encara no se sap si aquesta vulnerabilitat afecta també altres versions de Skype Empresesarial i si també actua sobre les versions afectades determinades en altres sistemes operatius / versions.

Segons la informació aportada per Cruz, l'accident es produeix de la manera següent. En primer lloc, heu d'executar el codi python: python SkypeforBusiness_16.0.10730.20053.py. A continuació, heu d’obrir SkypeforBusiness.txt i copiar el contingut del fitxer al porta-retalls del dispositiu. Un cop completat aquest pas, haureu d'iniciar Skype for Business com sempre i enganxar el que heu copiat al porta-retalls anteriorment del fitxer de text. Un cop enganxat, provoca una negació del bloqueig del sistema al dispositiu, cosa que provoca que Skype deixi de funcionar i es bloquegi en cas de manipulació.

Una història inexplicable d’un error de corrupció de memòria a Skype https://t.co/ykyHPll81q #seguretat cibernètica pic.twitter.com/jqoHY3kIAD

- Angelo G Longo (@aglongo) 5 de setembre de 2018

A més d'aquest error, fa poques hores també es va trobar que el programari té un error a través del qual les dades i el contingut multimèdia compartits entre dos usuaris de skype poden provocar el bloqueig de l'aplicació. Això vol dir que la mateixa vulnerabilitat es pot aprofitar remotament si un usuari maliciós envia aquests fitxers falsificats a través de l'aplicació a un altre usuari, cosa que provoca el mateix tipus de reacció de denegació de servei a causa de la corrupció de la memòria. Es detecta que aquesta segona vulnerabilitat de corrupció de memòria afecta Skype per a linux: skypeforlinux_8.27.0.85_amd64.deb.

Aquest defecte explotable remotament a Skype descrit anteriorment exigeix ​​a l’atacant maliciós que connecti una trucada amb l’usuari víctima i que enviï simultàniament els fitxers maliciosos a través del servei de missatgeria de la plataforma. Tant en el cas de la vulnerabilitat de pitó localment explotable com de la fallada explotable de manera remota que funciona amb el mateix principi, encara no hi ha instruccions o avisos de mitigació disponibles. De moment, Microsoft no ha publicat cap declaració sobre aquest problema.