Skype: c'è una vulnerabilità XSS nella versione per iOS

C’è un bug di sicurezza nella versione di Skype destinata ai dispositivi iPhone ed iPad di Apple. Il bug, da poco venuto alla luce, consentirebbe ad un aggressore di sferrare un attacco XSS (cross-site scripting) che, in combinazione con un’impostazione scorretta di WebKit, permetterebbe l’indebito accesso ai file memorizzati sui device della Mela.
La vulnerabilità XSS scaturisce, di per sé, da un’imperfetta elaborazione del campo relativo al nome completo del chiamante. In forza della lacuna da poco venuta a galla, infatti, un aggressore potrebbe riuscire ad inserirvi addirittura del codice JavaScript che verrebbe così mandato in esecuzione.
Problematiche di questo genere derivano da una mancata validazione del contenuto dei campi dati che dovrebbero essere epurati da qualunque riferimento a tag, codice JavaScript ed altri riferimenti non permessi.

Un aggressore potrebbe avere gioco facile anche grazie al particolare approccio utilizzato da Skype per interagire con il motore WebKit: grazie all’impiego dell’URI file://, un aggressore potrebbe così riuscire a mettere le mani sul contenuto di qualunque file il cui accesso sia permesso dalla sandbox di iOS. Un elemento che ogni applicazione iOS è autorizzato ad usare è il database AddressBook in formato SQLite (tale archivio contiene la rubrica dell’utente).

Il ricercatore Phil Purviance ha comunicato di aver informato i tecnici di Skype il 24 agosto e che il team di sviluppo aveva promesso il rilascio di un aggiornamento risolutivo entro i primi giorni di settembre.