Das VoIP-Programm Skype weist eine Sicherheitslücke auf, über die sich Angreifer unter anderem Zugang zum Account ihrer Kommunikationspartner verschaffen könnten. Er könnte unter Umständen sogar Zugang zum System des Anwenders erlangen, warnt der Entdecker Levent Kayan in einem Security-Advisory.

Es handelt sich bei der Sicherheitslücke um sogenanntes persistentes Cross Site Scripting. Ein Angreifer kann damit Script-Code geschickt in die Beschreibung seines Profils einbetten. Skype filtert offensichtlich diese Felder nicht ausreichend. Wenn sich ein Kontakt des Angreifers dann bei Skype anmeldet, wird der eingebettete JavaScript-Code ausgeführt und er könnte etwa das aktuelle Session-Cookie an den Angreifer schicken.

Laut Kayan sind die Versionen bis einschließlich des aktuellen 5.3.0.120 für Windows und Mac betroffen. Das Problem tritt in den Linux-Versionen anscheinend nicht auf. Nach eigenen Angaben hat Kayan den Hersteller benachrichtigt; einen Fix gibt es allerdings bislang noch nicht.

(ez, hannover)

(siehe auch Heise News-Ticker :)

Hannover · EDV-Beratung · Linux · Novell · Microsoft · Seminar · IT-Consult · Netzwerk · LPIC · CLE