Уязвимость в Skype, обнаруженная в четверг исследователем Авивом Раффом (Aviv Raff), может позволить злоумышленникам устанавливать на ПК своих жертв опасное ПО. Для этого может быть использована дыра, открывающаяся при использовании компонента Windows Internet Explorer для воспроизведения HTML. Плохую службу себе сам сослужил Skype, не имеющий строгих элементов контроля безопасности других приложений. Поэтому взломщик может исполнить скриптовый код на системе жертвы и установить на ней практически любое опасное ПО.
Как выяснили аналитики, Skype запускает IE с наиболее мягкими настройками безопасности "Local Zone". Таким образом, по сути, злоумышленник может творить с атакуемой системой что угодно совершенно безнаказанно. Для этого, правда, нужно найти надежный сайт с аналогичной программной уязвимостью известной также как кросс-зоновая скриптовая ошибка. В рамках демонстрации всей серьезности ситуации и возможного алгоритма взлома, один из исследователей даже разместил в своем блоге видео ролик, в котором показывается как используя опцию "Видео конференция" в Skype можно вызвать калькулятор Windows.
Также отмечается, что хакеры легко могут наводнить внешне надежный сайт модифицированной рекламой и тем самым повысить вероятность взлома системы пользователей Skype. Такая атака может быть осуществлена практически без подготовки. Эксперты настоятельно рекомендуют пользователям популярного VoIP-сервиса не искать видео с помощью Skype до тех пора пока эта уязвимость не будет устранена (сообщается об ее наличии в Skype 3.6.0.244, но может быть и в предыдущих версиях). Официальные лица компании пока никак не прокомментировали сообщение об обнаруженной дыре.
