В Skype обнаружена уязвимость, позволяющая взломать чужой аккаунт

Источники: http://lenta.ru/news/2012/11/14/hack/, http://habrahabr.ru/post/158545/

В сервисе голосовой и видеосвязи Skype обнаружили критическую уязвимость, которая позволяет взломать любой аккаунт, пишет пользователь блога "Хабрахабр". Для взлома необходимо знать только адрес электронной почты жертвы.

Схема взлома заключается в следующем: необходимо зарегистрировать новый логин Skype на e-mail жертвы (технически это возможно). После этого нужно войти в созданный аккаунт, удалить все файлы cookie и запросить восстановление пароля. После этого в окно Skype придет уведомление "Маркер пароля", в котором содержится ссылка.

Перейдя по этой ссылке, пользователь сможет выбрать, для какого логина Skype, зарегистрированного на данный адрес e-mail, он хочет сменить пароль. Среди этих логинов будет как тот, который пользователь только что зарегистрировал на чужой e-mail, так и логин владельца этой электронной почты. Таким образом, без доступа к чужому ящику и без знания старого пароля, чужой пароль можно поменять.

Процедуру взлома наглядно продемонстрировал на видео пользователь твиттера @asintsov (вскоре после публикации заметки ролик был удален и на данный момент недоступен. - Прим. "Ленты.ру"). Представители Skype пока никак не прокомментировали уязвимость, информация о ней распространяется только в Рунете.

Особенность уязвимости заключается в том, что взломщик не может полностью лишить владельца аккаунта доступа к нему, так как уведомление о смене пароля придет и на почтовый ящик того, чей аккаунт взломан. Единственным выходом из ситуации пользователи "Хабрахабра" называют перерегистрацию Skype на e-mail, который никто не знает и который не засвечен в базах.

p.s. Proof-of-Concept по использованию уязвимости можно посмотреть здесь, 

Обновлено 16.11.2012: Cервис интернет-телефонии Skype устранил уязвимость, позволявшую получить доступ к чужому аккаунту. Об этом вечером 14 ноября сообщается в блоге компании. В сообщении подчеркивается, что специалисты компании провели обновления в процессе сброса пароля, и в настоящее время он работает нормально. В Skype отметили, что оказывают поддержку небольшому числу пользователей, которые "столкнулись с неудобствами" из-за сложившейся ситуации. Подробности новой процедуры сброса пароля в своем сообщении Skype не уточняет. Утром 13 ноября в Skype была найдена уязвимость, путем использования которой злоумышленники могли получить доступ к чужому аккаунту, зная адрес электронной почты жертвы. Процесс взлома был подробно описан одним из пользователей блога "Хабрахабр". Днем в среду Skype временно отключил функцию сброса паролей на время решения проблемы.