2011年9月20日火曜日

iOS向けSkypeに重大な脆弱性発見!使ってる人は今すぐ対策を!

結構やばそうです......

こんばんは。Pineです。
今日、Skypeに重大な脆弱性が見つかったというニュースが入りました。
まだ公式発表のものではありませんが、なかなか有力なものとなっています。
Skypeは公式にこの脆弱性を認め、現在Bug Fix中です

詳細は以下から.............



今回脆弱性を発表したサイトはこちら

http://superevr.com/blog/

そしてここで公開されているデモ動画はこちらです





一通り見てみると少しわかりますが、iPhone版Skypeに大して特定のユーザー
名に設定した後メッセージを送ることで、iPhone側で処理を行うことができ、
それによってデータを吸い出しているようです。


はじめ見たときは信じられなかったのですが、調べてみるともっともなようです。


Skypeは、ユーザー名を表示するときにUIWebViewを用いて表示していて、
ここに特定のタグを記述してやることにより、そのまま表示させることが
できてしまうそうなんです。
で、ちなみにそこにJavaScriptを埋め込めば、もっと動的なことができてしまう
らしいんですよね。
そのJavaScriptから行える処理は、結構機能は限られています。
なぜならば、HTMLを使ったところでそのアプリの読み込みに行ける場所以外
は読み込みに行けないからです。この機能をサンドボックスといいます。
サンドボックスは、アプリがシステムにアクセスすることを制限する機能で、
これによってiPhoneなどのシステムはウイルスのようなアプリからは守られて
いるわけです。

が、Skypeを含む多くのアプリでは、連絡先へのアクセスが許可されています。

つまり、上に書いた脆弱性を用いて、連絡先のデーターを読み出し、それを
ネット上にアップロードさせて入手する、ということができるわけです。



やばいですねこれは。



噂で済ましちゃ仕方がないので、いかに手軽に実践できるかを試してみました。
(連絡先にアクセスしたりはしません。)

まず、Skypeから自分のユーザー名をHTMLのタグに変えます。




それから、iPhoneからSkypeを起動して自分のユーザー名をチャット画面
から確認します。




できちゃった

やばいですよ。これはやばいですよ。
皆さん、いますぐに対策をしないとまずいかもしれません。

商業の邪魔になっちゃったりするので、あまりこういうことは言いたくありません。
が、いまはiOS版Skypeは使わないのが一番安全でしょう。

また、下図のような設定画面から、コンタクトにいる人のみにチャット、通話を
許可するように設定しましょう。





Skypeでは、すべてのユーザーからのチャットを受け入れることができます。
それを利用して、自分のユーザー名をHTMLに変えて、ひたすらいろんな人に
話しかけ、連絡先を盗むという手口が想定されます。
これを考慮して、チャットする人を制限しておくことが、いまのところ一番妥当
な対策法と考えられます。



是非、今すぐにでも対策をおこなってください。
そんなにしないうちに対策されたSkypeはでると思うので、それまで待ちましょう。





追記


と書くことで、ボタンからアラートの表示に成功しました。








やっぱ怖いですね......

2 コメント:

kagamiwomiru さんのコメント...

うそでしょーーーー
俺いまがっつりスカイプ使っちゃってます

Pine さんのコメント...

検証して成功しちゃったので本当だと思います。
今知り合いと、本当に連絡先を吸えるのか検証しています。

コメントを投稿

Related Posts Plugin for WordPress, Blogger...

Twitter Delicious Facebook Digg Stumbleupon Favorites More

 
Design by Free WordPress Themes | Bloggerized by Lasantha - Premium Blogger Themes | Walgreens Printable Coupons