Skype ir neaizsargāta pret nejaušu izmantošanu, lai pārslēgtos uz Windows veikala versiju
Ja Skype darbvirsmas versija ir jūsu Windows datorā, jūs esat neaizsargāts pret patiešām šķebinošu izmantošanu. Skype atjaunināšanas rīka trūkums varētu dot uzbrucējiem pilnīgu kontroli pār jūsu sistēmu, un Microsoft saka, ka drīzumā nebūs labojums.
Laimīgi, jūs varat pilnībā novērst problēmu, nomainot Skype versiju darbvirsmā ar to, kas pieejama no Microsoft veikala. Tomēr tas ir apgrūtinoši, lai Microsoft pašu programmatūra būtu vāja šī pamata prasme, un attiecīgais ekspluatācijas veids ir viens no Redmondiem, kas brīdināja citus izstrādātājus par vairākām reizēm.
Lūk, ko tas izmanto, un to, kā jūs varat pārliecināties, ka izmantojat Skype drošo Windows veikala versiju.
Kas ir nepareizi ar Skype?
Programmatūras atjaunināšanai ir jābūt drošai, bet ironiski Skype gadījumā atjaunināšana ir problēma. Tas ir tāpēc, ka trūkums šeit nav ar pašu Skype, bet rīks Skype izmanto, lai atrastu un instalētu atjauninājumus. Šis atjaunināšanas rīks ir neaizsargāts pret DLL hjjacking, kā pētnieks Stefan Kanthak izklāsta:
Šī izpildāmā versija ir neaizsargāta pret DLL nolaupīšanu: tā ielādē vismaz UXTheme.dll no programmas direktorijas% SystemRoot% Temp, nevis no sistēmas Windows direktorijas. Priviliģēts (vietējais) lietotājs, kas spēj ievietot UXTheme.dll vai kādu citu DLL, ko ielādē neaizsargāti izpildāmie,% SystemRoot% Temp iegūst privilēģijas eskalāciju uz SYSTEM kontu.
Būtībā Skype vada DLL no mapes Temp, kuras lietotāji var piekļūt bez administratora tiesībām. Tas padara to triviālu sliktiem dalībniekiem, lai izslēgtu DLL un iegūtu sistēmas līmeņa kontroli pār datoru. Tā ir šāda veida neaizsargātība, ko Microsoft īpaši brīdina izstrādātājiem, lai izvairītos no tā, bet Microsoft Skype komanda, šķiet, ir nokavējusi šo konkrēto piezīmi.
Un tas pasliktinās. Microsoft pastāstīja Kantakam, ka „viņi varēja reproducēt šo problēmu”, taču problēma atrisināšanai netiks izdots plāksteris. Tā vietā Microsoft plāno šo problēmu atrisināt nākamajā galvenajā Skype versijā - nav skaidrs, kad tas būs.
Tas nav… ideāls. Par laimi, tur ir alternatīva.
Risinājums: izmantojiet Windows veikala versiju
Microsoft piedāvā divas Skype for Windows versijas: darbvirsmas versiju, kas ir pieejama jau sen, un Universal Windows platformas (UWP) versiju, kuru varat lejupielādēt no Windows Store apvienotās Microsoft Store lietotnes. Tikai darbvirsmas versija ir neaizsargāta pret šo konkrēto izmantošanu, jo tikai darbvirsmas versija izmanto savu atjaunināšanas rīku.
Microsoft jau kādu laiku ir spiests lietotājiem palaist uz Microsoft Store versiju Skype, piemēram, Skype lejupielādes lapa novirza lietotājus uz veikalu. Bet daudziem lietotājiem joprojām ir sava darbvirsmas versija savās sistēmās, un tiem vajadzētu atinstalēt to un izmantot tikai veikala versiju, ja viņi vēlas palikt droši no šīs izmantošanas.
Kā jūs varat pateikt, kura versija jums ir? Vienkāršākais veids ir meklēt “Skype” sākuma izvēlnē. Ja redzat vārdus “Trusted Microsoft Store app” zem Skype vārda, jūs, iespējams, esat iekļauti.
Abas lietotnes arī izskatās pilnīgi atšķirīgas. Lūk, “desktop” versija:
Ja jūsu Skype izskatās šādi, jūs esat neaizsargāti pret ekspluatāciju. Jums vajadzētu atinstalēt Skype, pēc tam lejupielādēt Microsoft Store versiju.
Šeit ir Microsoft veikala versija:
Ja jūsu Skype izskatās šāds, jūs esat drošs: šīs versijas atjauninājumus apstrādā, izmantojot Microsoft Store, tāpēc neaizsargātība nav būtiska.
Ir žēl, ka Microsoft ne tikai ielāpīs šo ievainojamību, bet vismaz tur ir Skype darba versija, kas ir bloķēta. Un, lai gan Microsoft veikala versijas saskarne un funkcijas būs korekcija, lietas, piemēram, zvanīšana un tērzēšana, mūsu pārbaudēs darbojas tikai labi, pat ja saskarne piedāvā mazāk iespēju. Un hey: Veikala versijā nav nekādu neglītu reklāmu, tāpēc tas ir plus.
