Neue Cross-Site-Scripting-Lücke in Skype entdeckt

Der armenische Sicherheitsforscher Levent „noptrix“ Kayan hat auf eine neue Cross-Site-Scripting-Lücke in Skype 5.3.0.120 hingewiesen, über die sich ein Angreifer unter anderem Zugang zum Konto eines Chatkontakts verschaffen kann. Unter Ausnutzung weiterer Schwachstellen sei es sogar möglich, die vollständige Kontrolle über ein System zu übernehmen.

Betroffen sind Kayan zufolge die Client-Versionen für Windows 7, Vista und XP sowie für Mac OS X 10.6.8. Auf seiner Website hat er einen Proof-of-Concept-Code für das Sicherheitsloch veröffentlicht.

Kayans Proof of Concept zeigt ausgelesene Sitzungsinformationen an (Bild: Levent Kayan).

Das Problem besteht laut Kayan darin, dass sich Script-Code in Eingabefelder der Profilbeschreibung eintragen lässt. Skype prüfe diese Felder nicht ausreichend. „Ein Angreifer müsste lediglich Schadcode verschicken. Ein Zutun des Opfers ist nicht nötig. Es wird attackiert, sobald es sich an seinem Konto anmeldet“, sagte Kayan den Kollegen von ZDNet Australien. Er halte das von der Lücke ausgehende Risiko für „hoch“.

Skype schätzt das Risiko hingegen eher als gering ein. Sicherheitschef Adrian Asher erklärte, dass jemand ein bestätigter Kontakt sein müsse, um die Schwachstelle auszunutzen. Man arbeite bereits an einem Patch und wolle diesen in der kommenden Woche bereitstellen.