В Skype для macOS обнаружили уязвимость, позволяющую записывать звонки и перехватывать сообщения
В официальном приложении Skype для Mac обнаружена уязвимость, позволяющая получить практически полный доступ к приложению без необходимости авторизации. По словам экспертов Securitylab, уязвимость существует по меньшей мере с 2010 года и может затрагивать порядка 30 млн пользователей Mac.
Судя по всему, бэкдор в коде Skype Desktop API был случайно создан одним из разработчиков Skype еще до того, как компанию приобрела Microsoft. Брешь позволяет атакующим записывать аудиозвонки, извлекать контактную информацию пользователей, читать входящие сообщения, создавать новые чаты, править сообщения и осуществлять другую вредоносную деятельность.
Skype Desktop API позволяет сторонним приложениям взаимодействовать со Skype. В обычных условиях стороннее приложение должно предоставить учетные данные, однако исследователи Trustwave обнаружили, что процедуру аутентификации можно обойти.
Предположительно, бэкдор создавался для того, чтобы обеспечить старым версиям плагина Skype Dashboard Widget доступ к Desktop API без взаимодействия с пользователем. Данная вероятность выглядит довольно правдоподобно, поскольку Desktop API предусматривает недокументированный идентификатор клиента (Skype Dashbd Wdgt Plugin).
По словам исследователей, приложения могут получать неавторизованный доступ к Desktop API при условии использования «Skype Dashbd Wdgt Plugin» в качестве идентификатора клиента.
Согласно словам экспертов, виджет не использует бэкдор для доступа к Desktop API. «Вполне возможно, что бэкдор - это результат ошибки разработчиков, которую забыли исправить при работе над реализацией виджета. Скорее всего, в прошлом бэкдор использовался в течение некоторого времени, однако потом его прекратили эксплуатировать и просто оставили», - отмечают исследователи.
