Vulnerabilidades de DoS e corrupção de memória encontradas no Skype Empresarial v16.0.10730.20053

Skype: videochamada, bate-papo e plataforma de comunicação empresarial

Uma vulnerabilidade de negação de serviço foi encontrada no Skype Empresarial Office 365 versão 16.0.10730.20053. Foi descoberto pela primeira vez por Samuel Cruz no dia 20^ºde agosto de 2018. De acordo com as informações da Cruz, esta vulnerabilidade em particular só foi testada na versão 16.0.10703.20053 do Skype Empresarial. Além disso, foi testado na plataforma do sistema operacional Windows 10 Pro x64 espanhol doméstico. Não se sabe ainda se esta vulnerabilidade afeta outras versões do Skype Empresesarial também e se outra atua nas versões afetadas determinadas em outros sistemas operacionais / versões também.

Segundo informações divulgadas por Cruz, o acidente ocorre da seguinte forma. Em primeiro lugar, você deve executar o código python: python SkypeforBusiness_16.0.10730.20053.py. Em seguida, você deve abrir o SkypeforBusiness.txt e copiar o conteúdo do arquivo para a área de transferência do seu dispositivo. Após a conclusão desta etapa, você deve iniciar o Skype for Business normalmente e colar o que copiou na área de transferência do arquivo de texto. Uma vez colado, ele causa uma negação de falha do sistema no dispositivo, fazendo com que o Skype pare de funcionar e trave em qualquer manipulação.

Uma história não contada de um bug de corrupção de memória no Skype https://t.co/ykyHPll81q #cíber segurança pic.twitter.com/jqoHY3kIAD

— Angelo G Longo (@aglongo) 5 de setembro de 2018

Além desse bug, também foi descoberto há apenas algumas horas que o software tem uma falha por meio da qual dados e conteúdo de mídia compartilhados entre dois usuários do skype podem fazer o aplicativo travar. Isso significa que a mesma vulnerabilidade pode ser explorada remotamente se um usuário mal-intencionado enviar esses arquivos falsificados por meio do aplicativo para outro usuário, solicitando o mesmo tipo de reação de negação de serviço por meio de corrupção de memória. Esta segunda vulnerabilidade de corrupção de memória afeta o Skype para linux: skypeforlinux_8.27.0.85_amd64.deb.

Esta falha explorável remotamente no Skype descrita acima exige que o atacante malicioso conecte uma chamada com o usuário vítima e, em seguida, envie simultaneamente os arquivos maliciosos através do serviço de mensagens da plataforma. No caso da vulnerabilidade python explorável localmente e da falha explorável remotamente operando com o mesmo princípio, nenhuma instrução de atenuação ou aconselhamento está disponível ainda. Nenhuma declaração foi divulgada pela Microsoft sobre este problema até o momento.