Kerentanan Skype milik Microsoft, yang memungkinkan penyerang mendapatkan kontrol penuh dari mesin host dengan memberikan hak istimewa sistem kepada pengguna yang tidak berpengalaman, kabarnya tidak akan diperbaiki oleh Microsoft dalam waktu dekat.

Ini bukan karena kerentanannya tidak dapat dipecahkan, namun karena memperbaiki kerentanan memerlukan penulisan ulang perangkat lunak yang signifikan, yang mengindikasikan bahwa perusahaan perlu mengeluarkan Skype versi baru dan bukan sekadar perbaikan.

Kerentanan ini ditemukan dan dilaporkan ke Microsoft oleh peneliti keamanan Stefan Kanthak, kerentanan ini berada di dalam update installer Skype, yang rentan terhadap pembajakan Dynamic Link Libraries (DLL).

Menurut peneliti, seorang penyerang potensial dapat memanfaatkan “fungsionalitas loader Windows DLL di mana proses loading pencarian DLL agar DLL dimuat terlebih dahulu di direktori yang sama dimana proses biner berada dan kemudian di direktori lain.”

Eksploitasi akan memungkinkan penyerang membajak proses update dengan mendownload dan menempatkan versi berbahaya dari file DLL ke dalam folder sementara di PC Windows dan mengganti nama untuk mencocokkan DLL sah yang dapat dimodifikasi oleh pengguna yang tidak berpengalaman tanpa hak istimewa akun khusus.

Saat update installer Skype mencoba menemukan file DLL yang relevan, saat itu juga akan menemukan file DLL berbahaya terlebih dahulu, yang akan menginstal kode berbahaya.

Meskipun Kanthak mendemonstrasikan serangan tersebut menggunakan versi Windows Skype, dia yakin metode pembajakan DLL yang sama juga dapat bekerja melawan sistem operasi lain, termasuk versi Skype untuk macOS dan Linux.

Kanthak kembali menginformasikan kepada Microsoft tentang kerentanan Skype di bulan September, namun perusahaan tersebut mengatakan kepadanya bahwa patch tersebut akan memerlukan update installer Skype melalui “a large code revision,” kata Kanthak.

Jadi, alih-alih merilis sebuah update keamanan, Microsoft memutuskan untuk membangun sebuah versi baru dari Skype yang akan mengatasi kerentanan tersebut.

Perlu dicatat bahwa kerentanan ini hanya mempengaruhi Skype untuk aplikasi desktop, yang menggunakan update installer yang rentan terhadap teknik pembajakan DLL. Versi aplikasi Universal Windows Platform (UWP) yang tersedia dari PC Microsoft Store untuk Windows 10 tidak terpengaruh.

Kerentanan tersebut dinilai sebagai “medium” dalam tingkat keparahan, namun Kanthak mengatakan, “serangan itu bisa dengan mudah meluas dan semakin parah”.

Sebelum Microsoft mengeluarkan versi baru dari Skype, pengguna disarankan untuk berhati-hati dan hindari mengklik lampiran yang ada dalam email. Selain itu, pastikan kamu menginstal perangkat lunak anti-virus yang sesuai yang menawarkan beberapa pertahanan terhadap serangan semacam itu.


Like it? Share with your friends!

Comments

error: Content is protected !!