Hallada una vulnerabilidad grave de desbordamiento de buffer en Skype

Una vulnerabilidad crítica ha sido hallada en Skype, el servicio de VoIP actualmente propiedad e Microsoft, que podría permitir la ejecución de código en remoto y provocar el bloqueo de la aplicación.

El investigador en seguridad Benjamin Kunz-Mejri, que trabaja para la empresa alemana Vulnerability Lab, descubrió una vulnerabilidad de desbordamiento de buffer que ha sido documentada aquí, y que se puede ser provocada a través de la realización de una conversación.

La vulnerabilidad ha sido considerada de alto riesgo a nivel de seguridad con una puntuación de 7,2 en CVSS, afectando a las versiones 7.2, 7.35 y 7.36 de Skype sobre los sistemas operativos Windows XP, Windows 7 y Windows 8, según explicó Mejri el pasado lunes. Sin embargo, no afecta a Windows 10 ni a Skype 7.37 porque esos software ya tienen aplicado el parche que la neutraliza.

Un atacante puede bloquear la aplicación de forma remota con un error de excepción inesperado para sobreescribir los procesos de registro activos, o bien ejecutar código malicioso sobre el sistema objetivo que esté utilizando una versión vulnerable de Skype. El problema reside en la manera en que Skype maneja el fichero MSFTEDIT.DLL cuando se realiza el proceso de copiar sobre un sistema local.

Los atacantes podrían crear un fichero de imagen específicamente diseñado para que sea copiado y pegado desde el portapapeles del sistema a una ventana de conversación perteneciente a la aplicación Skype. Una vez que la imagen está alojada en el portapapeles tanto del sistema local como en el remoto, la aplicación de VoIP experimenta un desbordamiento del buffer, causando errores y bloqueando la aplicación. Este proceso deja la puerta abierta a la utilización de más exploits.

Como medida para evitar la vulnerabilidad se recomienda actualizar a la última versión de Skype, y para dejar constancia del problema que afecta a las versiones no parcheadas, Vulnerability Lab ha publicado una prueba de concepto en YouTube.

Fuente: The Hacker News