Skype Rentan terhadap Alih Eksploitasi Nasty ke Versi Windows Store

Jika versi desktop Skype ada di komputer Windows Anda, Anda rentan terhadap eksploitasi yang sangat buruk. Kelemahan pada alat pembaruan Skype dapat memberi penyerang kendali penuh atas sistem Anda, dan Microsoft mengatakan tidak akan ada perbaikan dalam waktu dekat.

Untungnya, Anda dapat menghindari masalah sepenuhnya dengan mengganti versi "desktop" Skype dengan yang tersedia dari Microsoft Store. Namun, memalukan bagi perangkat lunak Microsoft sendiri untuk memiliki kelemahan mendasar ini, dan eksploitasi yang dimaksud adalah yang Redmond telah memperingatkan pengembang lain tentang beberapa kali.

Inilah yang berfungsi mengeksploitasi ini, dan bagaimana Anda dapat memastikan Anda menggunakan Skype versi Windows Store yang aman.

Apa yang Salah dengan Skype?

Pembaruan perangkat lunak seharusnya membuat Anda tetap aman, tetapi ironisnya dalam kasus Skype, pembaruan adalah masalahnya. Itu karena cacat di sini bukan dengan Skype itu sendiri, melainkan alat yang digunakan Skype untuk menemukan dan menginstal pembaruan. Alat pembaruan ini rentan terhadap pembajakan DLL, seperti yang dijelaskan peneliti Stefan Kanthak:

Eksekusi ini rentan terhadap pembajakan DLL: ini memuat setidaknya UXTheme.dll dari direktori aplikasinya% SystemRoot% Temp, bukan dari direktori sistem Windows. Pengguna (lokal) yang tidak memiliki hak yang dapat menempatkan UXTheme.dll atau DLL lainnya yang dimuat oleh rentan yang dapat dieksekusi di% SystemRoot% Temp mendapatkan peningkatan hak istimewa ke akun SYSTEM.

Pada dasarnya, Skype menjalankan DLL dari folder Temp, yang dapat diakses pengguna tanpa hak administrator. Ini membuatnya sepele bagi aktor jahat untuk mematikan DLL dan mendapatkan kontrol level sistem atas komputer Anda. Ini adalah jenis kerentanan yang secara khusus diperingatkan Microsoft untuk dihindari oleh para pengembang, tetapi tim Skype Microsoft tampaknya telah melewatkan memo itu.

Dan itu semakin buruk. Microsoft mengatakan kepada Kanthak bahwa mereka "dapat mereproduksi masalah ini," tetapi tidak akan ada patch yang dikeluarkan untuk menyelesaikan masalah. Sebagai gantinya, Microsoft berencana untuk memecahkan masalah selama rilis besar berikutnya Skype - tidak jelas kapan itu akan terjadi.

Itu ... tidak ideal. Untungnya, ada alternatif lain.

Solusinya: Gunakan Versi Windows Store

Microsoft menawarkan dua versi Skype untuk Windows: versi "Desktop", yang telah ada sejak lama, dan versi Universal Windows Platform (UWP), yang dapat Anda unduh dari aplikasi Microsoft Store yang dibundel dengan Windows. Hanya versi desktop yang rentan terhadap eksploitasi khusus ini, karena hanya versi desktop yang menggunakan alat pembaruannya sendiri.

Microsoft telah mendorong pengguna ke versi Microsoft Store Skype untuk sementara waktu: halaman unduhan Skype mengarahkan pengguna ke Store, misalnya. Tetapi banyak pengguna masih memiliki versi desktop pada sistem mereka, dan mereka harus menghapus itu dan hanya menggunakan versi Store jika mereka ingin tetap aman dari eksploitasi ini..

Bagaimana Anda bisa tahu versi mana yang Anda miliki? Cara paling sederhana adalah dengan mencari "Skype" di menu mulai. Jika Anda melihat kata-kata "Aplikasi Microsoft Store Tepercaya" di bawah nama Skype, Anda mungkin dilindungi.

Kedua aplikasi juga terlihat sangat berbeda. Inilah versi "desktop":

Jika Skype Anda terlihat seperti ini, Anda rentan terhadap eksploitasi. Anda harus menghapus instalasi Skype, lalu mengunduh versi Microsoft Store.

Ini versi Microsoft Store:

Jika Skype Anda terlihat seperti ini, Anda aman: pembaruan untuk versi ini ditangani menggunakan Microsoft Store, sehingga kerentanannya tidak relevan.

Sangat disayangkan bahwa Microsoft tidak hanya akan memperbaiki kerentanan ini, tetapi setidaknya ada versi Skype yang berfungsi yang dikunci. Dan sementara antarmuka dan fitur versi Microsoft Store akan menjadi penyesuaian, hal-hal seperti panggilan dan obrolan berfungsi dengan baik dalam pengujian kami, bahkan jika antarmuka menawarkan lebih sedikit opsi. Dan hei: tidak ada iklan jelek di versi Store, jadi itu plus.