Onneksi voit välttää ongelman kokonaan korvaamalla Skype-työpöydän version, joka on saatavana Microsoft Storesta. Silti on kiusallista, että Microsoftin omalla ohjelmistolla on heikko heikkous, ja kyseinen hyödyntäminen on yksi. Redmond on varoittanut muita kehittäjiä useita kertoja.
Tässä on kyse tämän hyödyntämisen toimivuudesta ja siitä, miten voit varmistaa, että käytät turvallista Windows Storen Skype-versiota.
Mikä on Wrong With Skype?
Ohjelmiston päivittämisen tarkoituksena on pitää sinut turvallisena, mutta ironista Skype-tapauksessa, päivitys on ongelma. Tämä johtuu siitä, että virhe ei tarkoita Skypea, vaan Skype-työkalu löytää ja asentaa päivityksiä. Tämä päivitystyökalu on alttiina DLL-hjjackingille, kuten tutkija Stefan Kanthak esittää:
This executable is vulnerable to DLL hijacking: it loads at least UXTheme.dll from its application directory %SystemRoot%Temp instead from Windows’ system directory. An unprivileged (local) user who is able to place UXTheme.dll or any of the other DLLs loaded by the vulnerable executable in %SystemRoot%Temp gains escalation of privilege to the SYSTEM account.
Pohjimmiltaan Skype käyttää DLL-tiedostoja Temp-kansiosta, jonka käyttäjät voivat käyttää ilman järjestelmänvalvojan oikeuksia. Tämän vuoksi on huonoja toimijoita syrjäyttää DLL-järjestelmät ja saada järjestelmän tasolla hallinta tietokoneellesi. Se on tällainen haavoittuvuus Microsoft varoittaa erityisesti kehittäjiä välttämään, mutta Microsoftin Skype-tiimi näyttää jääneen tuohon muistioon.
Ja se pahenee. Microsoft kertoi Kanthakille, että he "pystyivät jäljentämään ongelman", mutta ongelmaa ei ratkaista ongelman ratkaisemiseksi. Sen sijaan Microsoft aikoo ratkaista ongelman seuraavassa suuressa Skype-julkaisussa - se ei ole selvä, kun se tulee.
Se ei … ole ihanteellinen. Onneksi on olemassa vaihtoehto.
Ratkaisu: Käytä Windows Store -versiota
Microsoft tarjoaa kaksi versiota Skype for Windows: "Desktop" -versiosta, joka on ollut vuosikausia ja Universal Windows Platform (UWP) -versiota, jonka voit ladata Microsoft Store -sovelluksesta, joka on mukana Windowsissa. Vain työpöytäversio on alttiina tästä erityisestä hyödyntämisestä, koska vain työpöytäversio käyttää omaa päivitystyökalua.
Microsoft on vienyt käyttäjiä Skypeen Microsoft Store -versioon jonkin aikaa: Skype-lataussivu ohjaa käyttäjiä esimerkiksi Storeen. Mutta monilla käyttäjillä on yhä työpöytäversio järjestelmistään, ja heidän pitäisi poistaa tämä asennus ja käyttää vain Store-versiota, jos he haluavat pysyä turvaavina tästä hyödyntämisestä.
Kuinka voit kertoa, mikä versio sinulla on? Yksinkertaisin tapa on etsiä "Skype" käynnistysvalikosta. Jos näet sanat "Trusted Microsoft Store -sovellus" Skypen nimen alla, olet todennäköisesti katettu.
Tässä on Microsoft Store -versio:
On valitettavaa, että Microsoft ei vain korjaa tätä haavoittuvuutta, mutta ainakin siellä on lukittu Skype-työkalu. Ja vaikka Microsoft Store -version käyttöliittymä ja ominaisuudet ovat säätö, niin esimerkiksi soittaminen ja chat toimivat hienosti testeissämme, vaikka käyttöliittymässä on vähemmän vaihtoehtoja. Ja hei: Store -versiossa ei ole rumaja mainoksia, joten se on plus.
