Emoji-Flut legt Skype for Business 2016 und Lync 2013 lahm

Die Security-Experten von SEC Consult haben eine Schwachstelle in Skype for Business identifiziert, die Denial-of-Service-Angriffe durch Emojis bei ungepatchten Clients ermöglicht. Empfehlung: Unbedingt updaten!

Permanent erreichbar und verfügbar – Kommunikations-Tools wie Lync und Skype for Business sind mittlerweile in vielen Unternehmen nicht mehr wegzudenken. Analysten gehen davon aus, dass bis Ende des Jahres mehr als 100 Millionen Menschen in Call-Centern, Support-Abteilungen und verteilten Teams damit arbeiten werden.

Die vom SEC Consult Vulnerability Lab entdeckte Schwachstelle ermöglicht eine Denial-of-Service-Attacke (DoS) auf Skype for Business 2016 MSO (Version 16.0.93, 64-Bit oder älter) und Lync 2013 (Version15.0, 64-Bit als Bestandteil von Microsoft Office Professional Plus 2013 oder älter). Mit Senden einer bestimmten Anzahl von Emojis kann der Empfänger einer Nachricht effizient lahmgelegt und außer Gefecht gesetzt werden, etwa über eine Einladung zu einem Chat-Meeting oder direkt kontaktiert über Skype for Business. Eine spürbare Verzögerung tritt ab 100 gesendeten Emojis auf, bei 800 wird der beschickte Skype-Client in die Knie gezwungen. Solange der Sender weiterhin Emojis schickt, bleibt der Skype-Client unbenutzbar.

Da Skype for Business sehr weit verbreitet ist, wurde ein Responsible-Disclosure-Prozess mit Microsoft eingeleitet, um die Schwachstelle rasch zu beheben. „Patchmanagement wird von den Unternehmen zwar sehr ernst genommen, allerdings müssen viele Patches erst getestet werden, um die Produktion nicht zu gefährden. In manchen Bereichen verbieten die Vendoren sogar, dass Patches überhaupt eingespielt werden. Das macht es Angreifern natürlich sehr leicht, bekannte Schwachstellen auszunutzen“, sagt Ulrich Fleck, CRO der SEC Consult Gruppe in Wien. Ein ähnliches Problem lag bereits Anfang 2015 vor, als animierte Emoticons die CPU-Last der Skype-Benutzer förmlich explodieren ließen. Auch in diesem Fall konnte das Problem in nur einem Patch-Zyklus von Microsoft umgehend behoben werden. 

SEC Consult empfiehlt, das entsprechende Sicherheits-Update unbedingt durchzuführen. Dieses findet sich als kritischer Fix im aktuellen Patch-Day-Update, November 2018.    

log

Druckversion Emoji-Flut legt Skype for Business 2016 und Lync 2013 lahm