Pesquisador de segurança afirma ter encontrado uma falha no Skype a qual permitiria  a injeção de XSS ( Cross Site Scripting). Será? Vamos descobrir ^^

A porta-voz do Skype discorda, e afirmou em   um email ao site TheRegister, que tal falha não existe, e que o pesquisador se equivocou.

O que fora dito pelo pesquisador é que os campos, telefone móvel, casa, e cidade, estariam vulneráveis a ataques XSS. O mesmo diz ter realizado teste e disponibilizou algumas imagens do resultado do teste. O pesquisador ainda afirmou que atacantes poderiam utilizar destas falhas para inserir código maliciosos que levassem  os usuários a sites maliciosos, ou até mesmo se infectarem por algum tipo de WORM (verme em inglês).

Veja abaixo a imagem tida como prova da existência da falha:

Em resposta a porta-voz do Skype enviou um e-mail ao TheRegister (site de noticias) com o seguinte conteúdo:

Eu queria te dizer, que isso não é verdade o que ele disse, porque as entradas na (casa, escritório e telefone celular e até mesmo na “cidade”) são incorporados através de HTML “.

.

Como bom “fuçador” que sou, logo que fiquei sabendo da possível vulnerabilidade tratei logo de tentar reproduzir a falha na minha maquina, e pelo que vi a porta-voz tem razão. Pois dos campos citados pelo pesquisador nenhum deles reproduz o efeito do código para refletir no XSS.

E como  prova do que estou falando tirei algumas snapshots do meu Slype onde “reproduzi” com os mesmos códigos utilizados pelo pesquisador em questão.

Vejam:

Alguns campos até aceitam entradas em HTML (como a porta-voz tinha dito) mas não reproduzem o html, e no campo tel.celular, não é aceito/incorporado de forma alguma o código em HTML. Prestem atenção na imagem que disponibilizei, e vão ver que o campo tel.celular não aceitou o código que tentei inserir.

Tendo isso como base, não quero aqui dizer que o pesquisador esta errado, mas creio que ele deveria ter mais cautela antes de tomar partido de uma noticia tão forte, para um programa amplamente utilizado. Até por uma questão de zelo com sua imagem.

Tempos atrás, ou melhor em julho foi descoberta uma  falha semelhante a esta que o pesquisador “disse ter encontrado”. Porém em julho havia realmente um buraco no Skype que permitia a um atacante inserir códigos maliciosos do tipo Cross Site Scripiting.

E logo que foi descoberta, a equipe do Skype resolveu o problema. Para encerrar  essa postagem peço que se tiverem alguma dúvida sobre o tema abordado neste post, comente que irei responder.