Por segunda vez en tres años, hay una vulnerabilidad en Microsoft Skype que podría enmarañar las comunicaciones con unos gatitos (o cualquier otro emoji animado).
SEC Consult informó la semana pasada sobre su descubrimiento que enviando 100 emojis animados (la empresa de seguridad se centró en gatitos, suponemos que por KITTENS) en Skype Empresarial lo desestabilizaba causando un pequeño desfase en la aplicación.
Enviando 800 emojis animados la aplicación convierte a los mansos gatitos en tigres que provocan un ataque de denegación de servicio (DoS), que provoca que Skype Empresarial falle por unos segundos.
Pese a que sea solo unos segundos, si tu negocio depende de Skype Empresarial para mantener conferencias con tus empleados, llamadas a los clientes o cualquier otra forma de comunicación, deberías instalar la actualización lo antes posible. Microsoft ha publicado un parche para la vulnerabilidad CVE-2018-8546 que afecta a Office 365 ProPlus, Microsoft Office, Microsoft Lync y Skype.
Según SEC Consult, cuando se reciben 800 gatitos a la vez, Skype Empresarial se bloqueará durante unos segundos. Si el emisor continúa enviando emojis, Skype Empresarial no se podrá utilizar hasta que termine el ataque. Por esto es necesario instalar la actualización ya que cualquiera (pongamos por ejemplo un ex empleado descontento) puede bloquear esta app de comunicaciones.
Esto ya ha ocurrido antes. En 2015, Skype Empresarial sufrió el mismo tipo de vulnerabilidad causada por sobrecarga de emojis. La solución en 2015 era simple, cerrar la ventana de la conversación. Una vez cerrada, había que desactivar la opción de los emoticonos animados.
En esta ocasión, Microsoft no ha encontrado ningún atajo que solucionara el problema, por lo que publicó una actualización que soluciona el asunto.
¿A quién afecta?
SEC ha publicado una prueba de concepto para comprobar si tu cliente se bloquea o no cuando recibe una oleada de emojis. También dan una lista de los clientes afectados:
- Skype Empresarial 2016 MSO (16.0.93).64-Bit o anteriores, o
- Lync 2013 (15.0) 64-Bit parte de Microsoft Office Professional Plus 2013 o anteriores, y
- Ejecutados en Windows.
Puede parecer una vulnerabilidad muy peligrosa o particularmente importante para parchear, pero la mayor parte de negocios que confían en Skype Empresarial o Lync son o pequeños (41%) o medianos (19%).
Instalar parches no es una tarea trivial. Pero tampoco lo es que el equipo de ventas sufra un ataque DoS, especialmente en empresas pequeñas, con una seguridad limitada y con un departamento de TI que posiblemente no esté formado para gestionar estos incidentes.
