Skype: DLL-Hijacking-Lücke entdeckt – Fix erfordere vorerst noch zu viel Aufwand [UPDATE!]

 

[Meldung vom 15.02.2018: Wie mich unser Leser Paul soeben informierte, scheint an der Meldung von ZDNet nicht alles ganz korrekt zu sein. In seinen Foren informiert Microsoft aktuell darüber, dass es durchaus ein Problem mit dem Skype Desktop Installer in Version 7.40 und früher gegeben hat. Der alte Installer ist von Skype.com gelöscht und durch Version 8 (aktuell 8.15.0.4) ersetzt worden, welcher nicht von dem Fehler betroffen sein soll. Ob es sich hierbei nun wirklich um die benannte DLL-Hijacking-Lücke gehandelt hat, erfahren wir aus dem Beitrag leider nicht. Allerdings klingt die Erklärung des Problems sehr danach. Dass sich Microsoft also nicht umgehend kümmern würde, kann man in diesem Falle so also auch nicht stehen lassen.]

 

[Update vom 01.03.2018: Tatsächlich kontaktierte mich nun der im Ursprungsartikel genannte Sicherheitsforscher Stefan Kanthak persönlich und wies darauf hin, dass es sich bei der Annahme, dass Microsoft bereits etwas gegen die vor langer Zeit gemeldete Sicherheitslücke unternommen hat, um eine Fehlannahme handelt. In einer Erklärung vom 09.02. dieses Jahres schreibt er wie folgt:

[color-box color=“red“ rounded=“1″]

„Hi @ll,

since about two or three years now, Microsoft offers Skype as
optional update on Windows/Microsoft Update.

JFTR: for Microsoft’s euphemistic use of „update“ see
<http://seclists.org/fulldisclosure/2018/Feb/17>

Once installed, Skype uses its own proprietary update mechanism
instead of Windows/Microsoft Update: Skype periodically runs
„%ProgramFiles%\Skype\Updater\Updater.exe“
under the SYSTEM account.
When an update is available, Updater.exe copies/extracts another
executable as „%SystemRoot%\Temp\SKY<abcd>.tmp“ and executes it
using the command line
„%SystemRoot%\Temp\SKY<abcd>.tmp“ /QUIET

This executable is vulnerable to DLL hijacking: it loads at least
UXTheme.dll from its application directory %SystemRoot%\Temp\
instead from Windows‘ system directory.

An unprivileged (local) user who is able to place UXTheme.dll or
any of the other DLLs loaded by the vulnerable executable in
%SystemRoot%\Temp\ gains escalation of privilege to the SYSTEM
account.“

„The attack vector is well-known and well-documented as CAPEC-471:
<https://capec.mitre.org/data/definitions/471.html>

Microsoft published plenty advice/guidance to avoid this beginner’s
error: <https://msdn.microsoft.com/en-us/library/ff919712.aspx>,
<https://technet.microsoft.com/en-us/library/2269637.aspx>,
<https://support.microsoft.com/en-us/help/2389418/secure-loading-of-libraries-to-prevent-dll-preloading-attacks>
and
<https://blogs.technet.microsoft.com/srd/2014/05/13/load-library-safely/>
… which their own developers and their QA but seem to ignore!

See <https://bugs.chromium.org/p/project-zero/issues/detail?id=440>
for the same vulnerability in another Microsoft product!

stay tuned
Stefan Kanthak

Timeline:
~~~~~~~~~

2017-09-02 vulnerability report sent to vendor

2017-09-03 reply from vendor: „MSRC case 40550 opened“

2017-09-06 notification from vendor’s case manager: „report passed
to product group for investigation“

2017-10-27 reply from vendor’s case manager:

„The engineers provided me with an update on this case.
They’ve reviewed the code and were able to reproduce
the issue, but have determined that the fix will be
implemented in a newer version of the product rather
than a security update. The team is planning on shipping
a newer version of the client, and this current version
will slowly be deprecated. The installer would need a
large code revision to prevent DLL injection, but all
resources have been put toward development of the new
client.“

2018-02-09 report published

[/color-box]

Tatsächlich wird über den Microsoft Updater weiterhin eine von 2015 stammende Version 7.3 von Skype angeboten, die sich beispielsweise bei einer Neuinstallation eines Systems installiert, obwohl Microsoft selbst angibt, dass im Falle einer Neuinstallation die „aktuellste Version“ von Skype über den Updater installiert werde: „To make it simple and fast for Skype users to upgrade to the latest version of Skype for Windows, we have integrated Skype into Microsoft Update.“ Da es sich bei Version 7.3 noch immer um die gefährdete Version des Programms handelt, sollten Nutzer jene Update-Paket (KB2876229) tunlichst meiden und stattdessen lieber die aktuellste Version direkt von Skype.com beziehen.

Ursprüngliche Meldung:

Wie der Sicherheitsforscher Stefan Kanthak berichtet, sei im aktuellen Code von Skype eine schwerwiegende Sicherheitslücke vorhanden, die es Angreifern durch sogenanntes DLL-Hijacking ermöglichen kann, auf einem Zielrechner Systemrechte zu erlangen und somit vollständige Zugriffsrechte zu bekommen. Einen Patch hat Microsoft allerdings derzeit nicht parat, dies erfordere zum aktuellen Zeitpunkt angeblich zu viel Aufwand.

Nachdem Kanthak jene Lücke bereits im September 2017 gemeldet hatte, teilte Microsoft diesem mit, dass man die Lücke vermutlich erst mit einer neuen Skype-Version schließen werde, anstatt nun zwischendurch ein Sicherheitsupdate zu verteilen. Das Problem verbirgt sich wohl im separat laufenden Skype-Updater. Der Angreifer kann hier per DLL-Hijacking aktiv werden. Dabei schiebt er dem Zielrechner eine modifizierte Datei in einem temporären Ordner zu, auf den auch das Opfer Zugriff hat.

Im „Idealfall“ wird die ursprüngliche DLL von Skype nicht mehr aufgefunden, sondern lediglich die modifizierte Version. Das Programm erkennt den Unterschied nicht, der Angreifer hat das System gekapert. DLL-Hijacking sei dabei allerdings kein reines Windows-Problem, auch Linux- und macOS-Nutzer könnten unter Umständen auf dem Wege attackiert werden.

ZDNet