Межзонный скриптинг

Критичная (9.3)

(AV:N/AC:M/Au:N/C:C/I:C/A:C)

Skype Technologies

Skype (3.5.0, 3.6.244)

Межзонное выполнение сценариев в элементе Internet Explorer web control в Skype позволяет злоумышленникам, действующим удаленно, внедрить произвольный веб-сценарий или HTML-код в Local Machine Zone, используя поле Title в ролике Dailymotion и, возможно, в ролике Metacafe в видеогалерее Skype, которые доступны через поиск в диалоге "Add video to chat". Эта уязвимость известна также как "videomood XSS". Для эксплуатации уязвимости необходимы активные действия со стороны пользователя.

Для устранения уязвимости необходимо установить последнюю версию продукта, соответствующую используемой платформе. Необходимую информацию можно получить по адресу:
http://www.skype.com/

BUGTRAQ (20080117 RE: Skype videomood XSS): http://www.securityfocus.com/archive/1/archive/1/486512/100/0/threaded
FULLDISC (20080117 Re: Skype videomood XSS): http://archives.neohapsis.com/archives/fulldisclosure/2008-01/0363.html
FULLDISC (20080117 Skype videomood XSS): http://archives.neohapsis.com/archives/fulldisclosure/2008-01/0337.html
http://aviv.raffon.net/2008/01/17/SkypeCrosszoneScriptingVulnerability.aspx
http://www.critical.lt/?opinions/show/1470
http://www.gnucitizen.org/blog/vulnerabilities-in-skype
http://share.skype.com/sites/security/2008/01/skype_cross_zone_scripting_vul.html
http://skype.com/security/skype-sb-2008-001-update1.html
http://skype.com/security/skype-sb-2008-001.html
CERT-VN (VU#248184): http://www.kb.cert.org/vuls/id/248184
FRSIRT (ADV-2008-0194): http://www.frsirt.com/english/advisories/2008/0194
BID (27338): http://www.securityfocus.com/bid/27338