Skype의 데스크톱 버전이 Windows 컴퓨터에있는 경우 매우 악용 될 수 있습니다. Skype 업데이트 도구의 결함으로 인해 공격자가 시스템을 완전히 제어 할 수 있으며 Microsoft는 조만간 수정 될 예정이 아니라고 말합니다.
행복하게도 Skype의 “데스크톱”버전을 Microsoft Store에서 제공되는 버전으로 교체하여 문제를 완전히 피할 수 있습니다. 그럼에도 불구하고, Microsoft 자체 소프트웨어가이 기본을 약화시키는 것은 당혹스럽고, 문제의 악용은 Redmond가 다른 개발자들에게 여러 번 경고 한 것입니다.
이 익스플로잇의 작동 방식과 안전한 Windows Store 버전의 Skype를 사용하고 있는지 확인하는 방법은 다음과 같습니다.
Skype에 무슨 문제가 있습니까?
소프트웨어 업데이트는 보안을 유지해야하지만 Skype의 경우 아이러니하게 업데이트하는 것이 문제입니다. 여기에있는 결함은 Skype 자체가 아니라 Skype가 업데이트를 찾아 설치하는 데 사용하는 도구이기 때문입니다. 이 업데이트 도구는 Stefan Kanthak 연구원이 다음과 같이 DLL hjjacking에 취약합니다.
이 실행 파일은 DLL 하이재킹에 취약합니다. Windows 시스템 디렉토리 대신 응용 프로그램 디렉토리 % SystemRoot % Temp에서 UXTheme.dll 이상을로드합니다. UXTheme.dll 또는 % SystemRoot % Temp의 취약한 실행 파일에 의해로드 된 다른 DLL을 배치 할 수있는 권한이없는 (로컬) 사용자는 SYSTEM 계정에 대한 권한 상승을 얻습니다.
기본적으로 Skype는 사용자가 관리자 권한없이 액세스 할 수있는 Temp 폴더에서 DLL을 실행합니다. 이것은 나쁜 행위자가 DLL을 전환하고 컴퓨터에 대한 시스템 레벨 제어를 얻는 것이 사소한 일입니다. 마이크로 소프트가 개발자들에게 피하도록 경고하는 것은 일종의 취약점이지만, 마이크로 소프트의 Skype 팀은 그 메모를 놓친 것 같습니다.
그리고 그것은 악화됩니다. Microsoft는 Kanthak에“문제를 재현 할 수있었습니다”라고 말했지만 문제를 해결하기 위해 발행 된 패치는 발행하지 않습니다. 대신 Microsoft는 차기 주요 Skype 릴리스 중에 문제를 해결할 계획입니다. 언제쯤 될지는 확실하지 않습니다.
이상적이지 않습니다. 고맙게도 대안이 있습니다.
해결책 : Windows 스토어 버전 사용
Microsoft는 Windows 용 Skype의 두 가지 버전 인 “데스크탑”버전과 Windows와 번들로 제공되는 Microsoft Store 앱에서 다운로드 할 수있는 UWP (Universal Windows Platform) 버전을 제공합니다. 데스크톱 버전 만 자체 업데이트 도구를 사용하므로 데스크톱 버전 만이 특정 악용에 취약합니다.
Microsoft는 사용자를 Skype의 Microsoft Store 버전으로 한동안 밀어 붙였습니다. Skype 다운로드 페이지는 사용자를 상점으로 안내합니다. 그러나 많은 사용자가 여전히 시스템에 데스크톱 버전을 가지고 있으며이 악용으로부터 안전하게 유지하려면 해당 버전을 제거하고 스토어 버전 만 사용해야합니다.
가지고있는 버전을 어떻게 알 수 있습니까? 가장 간단한 방법은 시작 메뉴에서 “Skype”를 검색하는 것입니다. Skype 이름 아래에 “Trusted Microsoft Store 앱”이라는 단어가 표시 될 수 있습니다.
두 앱도 완전히 다르게 보입니다. “데스크톱”버전은 다음과 같습니다.
Skype가 다음과 같은 경우 익스플로잇에 취약합니다. Skype를 제거한 다음 Microsoft Store 버전을 다운로드해야합니다.
Microsoft Store 버전은 다음과 같습니다.
Skype가 이렇게 보이는 경우 안전합니다.이 버전의 업데이트는 Microsoft Store를 사용하여 처리되므로 취약점과 관련이 없습니다.
불행히도 Microsoft는이 취약점을 패치 할뿐만 아니라 최소한 작동 가능한 Skype 버전이 있습니다. 또한 Microsoft Store 버전의 인터페이스와 기능은 조정되지만, 인터페이스에서 더 적은 옵션을 제공하더라도 전화 및 채팅과 같은 기능은 테스트에서 제대로 작동합니다. 스토어 버전에는 못생긴 광고가 없기 때문에 장점이 있습니다.
