インターネット電話を提供する会社Skypeが、Windowsユーザーに影響のある高リスクの脆弱性に対してパッチを行っていたが、奇妙なことにこの脆弱性に関する情報が公開されたのは、パッチ公開後1カ月経ってからだった。
TippingPointのZero Day Initiativeの勧告には、この問題の重大性が記述されている。
この脆弱性は遠隔の攻撃者が脆弱性を持ったSkypeがインストールされた機器上で任意のコードを実行することを可能にする。この脆弱性を利用するには、対象が悪意のあるページにアクセスする必要があるため、ユーザの関与が必要となる。
この脆弱性は、インストール時点にSkypeが作成する'skype4com'と呼ばれるURIハンドラー内に存在する。このハンドラーが短い文字列を処理する際に、悪用可能なメモリ破壊が生じることがあり、この場合現在のユーザーのコンテキスト下で任意のコードを実行することができる場合がある。
[参考：Rogue anti-malware lures squirming through Skype（英語）]
この脆弱性は、Skype 3.6 for Windowsのリリースで修正されており、11月15日以降に更新されたあるいはインストールされたWindows版のSkypeのすべてのバージョンが修正されていることになる。
しかし、「意図しなかった連絡上の過失」と説明されている理由により、Skypeのセキュリティチームは11月10日までこの修正について発表していなかった。
SkypeのVillu Arak氏は「われわれにできるのは謝罪することだけだ」と述べている。
この記事は海外CNET Networks発のニュースをシーネットネットワークスジャパン編集部が日本向けに編集したものです。海外CNET Networksの記事へ
