www.MegaLab.it

Stiano in guardia gli utilizzatori del celeberrimo Skype, uno dei programmini più scaricati degli ultimi tempi.

Il celebre strumento di telecomunicazione è infatti afflitto da tre buffer non verificati, che potrebbero consentire ad un cracker di prendere pieno controllo del sistema, ivi compresa la cancellazione o modifica non autorizzata dei dati.

Il gestore dei link

La prima debolezza è localizzata nel modulo che gestisce gli indirizzi "callto://" e "skype://" utilizzati per permettere alle pagine web di mostrare comodi collegamenti "clicca per chiamare" (rimandiamo a questo approfondimento per maggiori informazioni).

Sfruttando a dovere questa debolezza un utente ostile può costruire un URL malformato che, una volta cliccato su un sistema non debitamente aggiornato, permette al cracker di eseguire codice da remoto con gli stessi privilegi dell'utente locale, e guadagnare di fatto il pieno controllo del sistema.

Per compromettere il proprio sistema è quindi sufficiente cliccare su un collegamento "callto://" o "skype://" studiato ad hoc da una pagina web visualizzata in un qualsiasi browser.

Importazione di vCard

Un problema di mancata verifica della lunghezza dell'input interessa anche il modulo che permette di importare i "biglietti da visita virtuali", i popolari file vCard.

Questa seconda vulnerabilità è però più difficile da sfruttare: per poter compromettere il sistema un cracker dovrebbe convincere l'utente ad importare in Skype una vCard malformata creata ad hoc.

Pacchetti UDP

La terza vulnerabilità è la più pericolosa. Probabilmente addirittura critica.

Una problema nel modo in cui il programma alloca memoria alla ricezione dei pacchetti UDP potrebbe permettere di causare un buffer overflow dell'area di heap, con le solite possibilità di eseguire codice da remoto.

Per farlo, sarebbe sufficiente realizzare un pacchetto UDP malformato e spedirlo al programma sulla macchina bersaglio: niente da cliccare, niente da eseguire.

Quest'ultima vulnerabilità è cross-platform, ed interessa tutti i sistemi operativi per cui sia disponibile il programma. Tanto Windows quanto Linux, Mac OS e Pocket PC sono vulnerabili ed è altamente raccomandato un aggiornamento immediato del programma.

Risolvere i problemi

Skype Technologies ha già rilasciato una versioni aggiornate del prodotto per tutti i sistemi operativi: sono scaricabili da qui.

Alla data attuale fortunatamente non sono ancora stati rilasciati gli exploit funzionanti, ma vista la grandissima diffusione del prodotto è solo questione di tempo.