IOS के लिए Skype पर XSS

यदि आप अपने iPhone या iPod टच पर Skype के iOS संस्करण का उपयोग कर रहे हैं, तो सावधान रहें: Skype संस्करण 3.0.1 और इससे पहले के Skype संदेश विंडो में क्रॉस-साइट स्क्रिप्टिंग भेद्यता का पता चला है।

एक छेद हमलावरों को दुर्भावनापूर्ण जावास्क्रिप्ट कोड निष्पादित करने की अनुमति देता है जो तब निष्पादित होता है जब कोई पीड़ित चैट संदेश देखता है। यह भेद्यता सूचना की चोरी की अनुमति देती है, जैसे कि उपयोगकर्ता की पता पुस्तिका (कट के नीचे वीडियो देखें)।

स्काइप सुरक्षा के मुद्दे से अवगत होने का दावा करता है और निम्नलिखित कहा गया है:

“हम अपनी अगली रिलीज़ में इस समस्या को ठीक करने के लिए कड़ी मेहनत कर रहे हैं, जिसे हम जल्द ही रिलीज़ होने की उम्मीद करते हैं। उसी समय, हम हमेशा की तरह, यह सलाह देते हैं कि लोग सावधानी बरतें और उन लोगों से अनुरोध स्वीकार करें जिन्हें वे जानते हैं, और इंटरनेट पर बुनियादी सुरक्षा नियमों के बारे में भी नहीं भूलना चाहिए। ”

पहला वाक्य पर्याप्त होगा, प्रिय स्काइप।

AppSec परामर्श के सुरक्षा शोधकर्ता फिल Purviance लिखते हैं:

जावास्क्रिप्ट कोड के साथ मनमाना व्यवहार करना बेहद अप्रिय है, लेकिन मैंने पाया कि Skype भी URI के साथ सही तरीके से काम नहीं करता है। आमतौर पर आपको कुछ ऐसा ही URL दिखाई देगा, जैसे "about: blank" या "skype-randomtoken", लेकिन इस मामले में हम "file: //" देखते हैं। यह हमलावर को उपयोगकर्ता की फ़ाइल प्रणाली तक पहुंच प्रदान करता है, और वह किसी भी फ़ाइल तक पहुंच प्राप्त कर सकता है, जिसके पास एप्लिकेशन की पहुंच है।
हमलावरों को महत्वपूर्ण फाइलों तक पहुंच प्रदान किए बिना, ऐप्पल द्वारा लागू किए गए आईओएस सैंडबॉक्स द्वारा फ़ाइल सिस्टम तक पहुंच को आंशिक रूप से नियंत्रित किया जाता है। हालाँकि, प्रत्येक iOS एप्लिकेशन का उपयोग उपयोगकर्ताओं के लिए पता पुस्तिका में होता है, और Skype इसका अपवाद नहीं है।

अपने ट्विटर अकाउंट में, फिल कहते हैं कि उन्होंने लगभग एक महीने पहले स्काइप की इस XSS भेद्यता के बारे में सूचना दी थी।



आइए आशा करते हैं कि जल्द ही हमें अपडेट का इंतजार करना चाहिए, और मीडिया में प्रचार इस में योगदान देगा।