Vulnerabilidad XSS en Skype

 Se han dado varias noticias por medio de la web sobre el descubrimiento de una vulnerabilidad cross-site scripting en Skype, nada era seguro, pero ya se ha dado la confirmación oficial de la compañía y la alerta enviada por el INTECO-CER. Levent Kayan, un consultor de seguridad de Berlín, publicó hace un par de días su descubrimiento: una vulnerabilidad que permitiría (a un atacante remoto) acceder a la cuenta de un usuario (y tomar el control de la misma al cambiarle la contraseña, por ejemplo, y acceder a todos los datos de sus contactos).

El problema está en el formulario de usuario, en este hay un campo para el numero telefónico, aquí cualquier informático nivel medio puede inyectar un código en JavaScript que posteriormente puede ser ejecutado cuando un contacto accede a la información del usuario.

Skype está trabajando en una actualización de sus clientes para solventar el problema, así que los usuarios de Skype 5.3.0.120 y otras versiones más antiguas están corriendo riesgo.

Como respuesta oficial por parte de Skype, Adrian Asher, jefe de seguridad de la información de Skype dice lo siguiente:

En esencia, permite que uno de sus principales contactos en Windows le muestre mensajes o lo rediriga a páginas web dentro de la página de Skype. Con el fin de aprovecharla, esta persona tendría que ser un contacto validado suyo y uno de los más frecuentes, y por lo tanto muy poco probable que cause problemas en el mundo real, sin embargo, no debería ser así y se arreglará

Opiniones: