Skype no puede reparar un gran error de seguridad sin una reescritura masiva de todo el código

Una fallo de seguridad en el proceso de actualización de Skype puede permitir que un atacante obtenga privilegios a nivel de sistema en un ordenador vulnerable.

El error, si se explota, puede derivar a que usuario local sin privilegiado llegue a obtener todos los privilegios a nivel del "sistema", otorgándole acceso a cada rincón del sistema operativo.

Pero Microsoft, que posee el servicio de llamadas de voz y video (Skype), dijo que no solucionará el problema de inmediato, porque el error requeriría demasiado trabajo.

El investigador de seguridad Stefan Kanthak descubrió que el instalador de actualizaciones de Skype podría ser explotado con una técnica de secuestro de DLL, que permite a un atacante engañar a la aplicación para que use el código malicioso en lugar de la biblioteca correcta. Un atacante puede descargar un DLL malicioso en una carpeta temporal accesible para el usuario y cambiarle el nombre a una DLL existente que puede ser modificada por un usuario sin privilegios, como UXTheme.dll. El error funciona porque la DLL malicioso se encuentra primero cuando la aplicación busca los DLL que necesita.

Una vez instalado, Skype usa su propio actualizador incorporado para mantener el software actualizado. Cuando se ejecuta ese actualizador, usa otro archivo ejecutable para ejecutar la actualización, que es vulnerable al secuestro.

Explotar este fallo de seguridad podría ser muy fácil. Explicó, proporcionando dos ejemplos de línea de comando, cómo una secuencia de comandos o malware podría transferir remotamente una DLL maliciosa a esa carpeta temporal.

"Windows ofrece múltiples formas de hacerlo", dijo. Pero el secuestro de DLL no se limita a Windows, dijo, señalando que también se puede aplicar a Macs y Linux.

Una vez que se obtienen los privilegios de "sistema", un atacante "puede hacer cualquier cosa", dijo Kanthak.

"'Sistema' es 'administrador' con esteroides", agregó.

A partir de ahí, un atacante podría robar archivos, eliminar datos o retener datos mediante la ejecución de ransomware.

Kanthak informó a Microsoft sobre el error en septiembre, pero el gigante del software dijo que emitir un arreglo requeriría que el actualizador realice una "revisión de código grande".

La compañía le dijo que, aunque los ingenieros "pudieron reproducir el problema", llegarán a una solución "en una versión más nueva del producto en lugar de una actualización de seguridad".

En cambio, la compañía dijo que puso "todos los recursos" en construir un cliente totalmente nuevo.

Skype podría ser una aplicación desprevenida para apuntar a un usuario, ya que la aplicación se ejecuta con el mismo nivel de privilegios en el usuario local conectado, lo que dificulta que los atacantes hagan mucho con ese bajo nivel de acceso. Para causar cualquier tipo de daño de valor, debe ser administrador o superior, como el usuario del "sistema".

Pero Skype ha sido previamente víctima de ataques maliciosos que podrían dejar la puerta abierta al sistema, si se aprovecha esto a gran escalada errores de privilegios.