Skype für iOS - Sicherheitsproblem

[SubFish]

Wie Superevr, ein amerikanischer Security-Blog, berichtet, gibt es im beliebten VoIP Programm Skype für iOS Geräte eine erhebliche Sicherheitslücke. Es ist mit Hilfe einer Cross-Site-Scripting Schwachstelle möglich Zugriff auf das Adressbuch von iPhone und iPod Touch zu erhalten. Zwar bekommen Angreifer nicht uneingeschränkten Zugriff auf das iDevice, da Apples App-Sandboxing tiefer Gehendes verhindert. Betroffen hiervon seien alle Skype Versionen für iPod Touch und iPhone bis hin zu Version 3.0.1. Der eigentliche Angriff erfolgt über das Chatfenster, welches dem Angreifer erlaubt beliebige Java-Skripts auf dem Mobilgerät auszuführen, sobald das Opfer das Chatfenster öffnet. Phil Purvience, der Betreiber von Superevr, gibt an, er habe Skype bereits im August über die Missstände informiert. Skype gab nun, auf Nachfragen von TechCrunch, bekannt, dass man an einem Update arbeite, und hoffe es bald an die Nutzer weitergeben zu können.
[PRBREAK][/PRBREAK]

We are working hard to fix this reported issue in our next planned release which we hope to roll out imminently. In the meantime we always recommend people exercise caution in only accepting friend requests from people they know and practice common sense internet security as always.

Das Problem der Cross-Site-Scripting Schwachstellen zeigte sich in jüngster Vergangenheit auch bei den Windows und Mac Versionen. Zur Veranschaulichung des Problems nahm Purvience ein Video auf, in dem er einen Angriff auf ein iPhone demonstriert und das Adressbuch ausliest.

[video=youtube;Ou_Iir2SklI]http://www.youtube.com/watch?v=Ou_Iir2SklI&feature=player_embedded[/video]

 

[duSty23]

Naja soooo schlimm is das ja nich, wenn man einfach mal schaut,
wer einen überhaupt als "Freund" in die Liste mit aufnehmen will..
Ich lehn grundsätzlich komische Anfragen
("HeißeSchnecke69" und ähnliche) in ICQ usw ab...

 

[Crady]

Naja... wenn der Angreifer aber bei einem JB iPhone viel tiefer ins System kommt als nur ins Adressbuch, dann ist das gar nicht mehr so lustig. Und wenn der Angreifer dann noch potentiell "bekannte" Namen vorher bei Facebook oder Twitter abcheckt, kann so eine Anfrage schon seriös aussehen.