Vulnerabilidad de acceso a información sensible en Skype

Se ha dado a conocer una vulnerabilidad en Skype (en todas las versiones previas a la 4.2.0.1.55 (v4.2 hotfix #1) para Windows), que podría ser aprovechada por un atacante para evitar restricciones de seguridad y descubrir información sensible.

Skype es un el cliente de VoIP (voz sobre IP) muy popular, tiene millones de usuarios por todo el mundo y permite las comunicaciones a través de chat, voz y videoconferencia con otros usuarios de Skype o de teléfonos fijos. Además está disponible para distintas plataformas Windows, Linux y Mac OS X.

El problema está provocado por un error en el tratamiento de los parámetros en determinadas URIs. Un atacante podría explotar la vulnerabilidad si inyecta un argumento “/Datapath” malicioso; por ejemplo apuntando a un recurso SMB compartido remoto. Esto podría aprovecharse para controlar algunas configuraciones de Skype (como la política de seguridad o la configuración proxy) y conseguir así acceso a información sensible (como los logs de los chats o el histórico de llamadas).

Para lograr explotar con éxito esta vulnerabilidad se requiere engañar o inducir al usuario de Skype a acceder a una URI “skype:” específicamente creada y también dependerá del navegador que use.

Para evitar este problema se ha publicado la versión 4.2.0.1.55 (v4.2 hotfix #1).
http://www.hispasec.com/unaaldia/4156 Fuente

Comentario:

Pues quien use el Skyp, actualice a dicha version 4.2.0.1.55 (v4.2 hotfix #1).

saludos

ms, 13-3-2010