Oblíbený klient pro komunikaci Skype obsahuje velmi vážnou bezpečnostní chybu, díky které může útočník získat přístup do počítače uživatele. Co je ale možná ještě horší, Skype ji nemůže okamžitě opravit. Aby tak udělal, musel by kompletně přepsat velkou část kódu, což je moc náročné. Microsoft proto vymyslel jiné řešení – vydá rovnou celou novou verzi Skypu.
Na chybu začátkem února veřejně upozornil bezpečnostní analytik Stefan Kanthak. Vysvětlil, že pokud by se útočník rozhodl chybu využít, mohl by eventuálně získat přístup do systému počítače a tím pádem do všech koutů jeho operačního systému.
Bug je přítomný v instalačním mechanismu aktualizací aplikace – útočník může zařídit, aby program místo načtení správné knihovny načetl škodlivý kód. Ten pak může uložit do dočasné složky a přejmenovat na existující knihovnu. Odtud stačí malý krok, jak celé věci využít.
Metoda podle Kanthaka není omezená jen na Windows. Obětí může padnout jak macOS, tak Linux. Útočník pak může v hostitelském počítači přistupovat k souborům, instalovat ransomware... atp.
Analytik poprvé kontaktoval Microsoft kvůli bugu v září. Společnost okamžitě odpověděla, že rychlou opravu vydat nemůže. Bylo by to moc práce, respektive vyžadovalo by to přepsání celého kódu. Spíš se jí bude snažit vyvarovat v budoucí verzi klienta. Kdy ale nová verze dorazí, není jisté. Microsoft jen sdělil, že věc vyšetřuje.
Aktualizováno: Chyba se týká desktopové aplikace. Microsoft proto doporučuje přejít na verzi z Microsoft Store ve formě moderní univerzální aplikace. Ta je sice funkčně trochu omezená, ale bezpečná.
