خانه / اخبار آی تی / اسکایپ مک برای مدت زمان زیادی بک دور داشته است

اسکایپ مک برای مدت زمان زیادی بک دور داشته است

محققین به تازگی یافته‌اند که، نرم‌افزار اسکایپ مایکروسافت، برای سیستم عامل‌های macOS و OS X اپل، شامل یک رابط برنامه نویسی کاربردی (API) می‌باشد که می‌تواند برای جاسوسی و شنود ارتباطات کاربران بدون اینکه خود آن‌ها متوجه شوند، استفاده شود.

تحلیلگران Trustwawe کشف کرده‌اند که API دسکتاپ که به پلاگین‌ها و برنامه‌های طرف ثالث اجاره می‌دهد که با اسکایپ ارتباط داشته باشند و به راحتی ‌می‌توانند برای جاسوسی و دور زدن سیستم اهراز هویت استفاده شود.

برنامه‌های کاربردی طرف ثالث مخرب به سادگی ‌می‌توانند که سیستم اهراز هویت را دور بزنند. به این‌گونه که آن‌ها به سادگی خود را به عنوان برنامه مسئول ارتباط با API دسکتاپ، از طرف پلاگین داشبورد برنامه اسکایپ، جا می‌زنند و به راحتی با این روش اهراز هویت مورد نظر را دور می‌زنند.

تنها کاری که مهاجم مورد نظر نیاز دارد که این کار را انجام دهد، این است که یک رشته متن در برنامه را به “Skype Dashbd Wdgt Plugin” تغییر دهد. و با این کار API‌ دسکتاپ، امکان دسترسی به ویژگی‌های حساس اسکایپ را خواهد داد.

Trustwave یک کد Objective-C به عنوان اثبات این مفهوم ارائه داده است که یک فرایند ارتباط را بدون درخواست اجازه از کاربر برای اتصال به اسکایپ، شروع می‌کند.

Trustwave همچنین می‌گوید که :‌ اگرچه آخرین نسخه API دسکتاپ، دسترسی به پیام متنی را از امکاناتش حذف کرد، ولی باز هم به نوتیفیکیشن‌های پیام‌های آمده و محتوای آن‌ها دسترسی می‌دهد. API دسکتاپ، همچنین ‌می‌تواند برای تغییر پیام، ایجاد چت و بازیابی مخاطبین کاربر به کار گرفته شود. تماس‌ها ‌می‌توانند ثبت شوند و صدای تماس‌ها نیز در دیسک محلی ذخیره شود.

همه نسخه‌های اسکایپ برای macOS/OS X –شامل ورژن اخیر ۷.۳۵آسیب‌پذیر می‌باشند.

این نقص در ماه اکتبر به مایکروسافت اطلاع داده شد و مایکروسافت نیز این آسیب‌پذیری نرم‌افزار اسکایپ را در نسخه جدید ۷.۳۷ و نسخه‌های بعدی درست کرد.

طبق گفته این محققین، API‌ دسکتاپ به مدت ۵ سال در اسکایپ برای Mac موجود بوده است و به تدریج از رده خارج می‌شود.

Trustwave بر این باور بود که این بک دور موجود، به طور تصادفی در اسکایپ قرار داده شده بود. چرا که اینگونه به نظر می‌رسید که ویجت داشبورد اسکایپ استفاده‌ای از آن نمی‌کند.

محققین در این باره این چنین بیان کردند که : “این احتمال بوجود می‌اید که این بک دور موجود، نتیجه یک حادثه تصادفی در طول توسعه بوده و تصادفاً در طول فرایند پیاده‌سازی پلاگین‌های داشبورد جا مانده است.”

Adam Boileau محققی در Insomnia Security نیز به طور مشابهی گفت که شک برانگیز می‌باشد که این باگ موجود یک کار عمدی باشد.

وی به Itnews اینگونه می‌گوید که : “به نظر میرسد که این هم یکی از مواردی می‌باشد که در آن توسعه دهندگان به طور مناسب به موارد موجود در توسعه توجه و اندیشه نمی‌کنند.”

یکی از سخنگویان مایکروسافت می‌گوید که :‌ ما در محصولات خود بک دور ایجاد نمی‌کنیم، اما به طور مداوم و پیوسته کارآزمودگی محصولاتمان و امنیت آن‌ها را بهبود می‌بخشیم و همین‌طور همیشه کاربرانمان را تشویق میکنیم که محصولاتمان را همیشه به آخرین نسخه موجود آپدیت کنند.

منبع

مطلب پیشنهادی

ورایزون به دنبال کاهش قیمت نهایی یاهو می‌باشد

ظاهرا شرکت ارتباطاتی ورایزون (Verizon) که قرار بود یاهو را در آینده‌ ای نزدیک خریداری …

پاسخ دهید

نشانی ایمیل شما منتشر نخواهد شد. بخش‌های موردنیاز علامت‌گذاری شده‌اند *