Schr�dingers Schwachstelle:
Skype hatte L�cke und hatte keine L�cke

Anfang dieser Woche sorgte eine angeblich schwere L�cke in der Desk­top-Anwendung von Skype f�r Verunsicherung und Verwirrung. Eine entscheidende Rolle spielte hier die Versionsnummer und bis heute ist das Vorgehen vom Microsoft etwas undurchsichtig. Klar ist nun aber auch: Nach dieser Episode d�rfte der klassische Client Geschichte sein. Sicherheitsl�cken k�nnen dramatische Folgen haben und manchmal gibt es Berichte, die sich im Nahhinein als nicht so schwerwiegend herausstellen bzw. bei denen die Umst�nde eine gro�e Rolle spielen. Die j�ngste Sache mit Skype ist so eine Story. Denn auch wir haben berichtet, dass Microsoft eine Skype-L�cke nicht schlie�en konnte oder wollte, genauer gesagt ging es um eine Schwachstelle, mit dem der Updater zur Installation einer manipulierten DLL-Datei gebracht werden konnte.

Zweigleisig

Die Besonderheit bei der ganzen Sache war: Eine Version war betroffen, die andere nicht. Denn bei der x86-Ausgabe von Skype ist Microsoft bis vor kurzem zweigleisig gefahren. Kurz gesagt: In der aktuellsten Skype-Version 8.15.0.4 wurde die Schwachstelle bereits im vergangenen Oktober geschlossen.

In der bzw. bis zur Ausgabe mit der Nummer 7.40.0.104 war die schwere L�cke aber nach wie vor offen. Das Problem: Bis gestern war diese Version noch offiziell zu bekommen, wenn auch etwas versteckt. Denn viele Nutzer wurden mit Version 8 nicht warm, weshalb Microsoft die alte Software nach wie vor offiziell im Angebot hatte. Microsoft hat sie aber eben erst gestern entfernt.

Auch Entdecker der L�cke verwirrt

Ma�geblich beteiligt an der Verwirrung war auch der Entdecker der L�cke, der Deutsche Stefan Kanthak (via The Register). Denn diesem wurde im Herbst mitgeteilt, dass ein Fix ein weitreichendes Umschreiben des Codes erfordern w�rde. Das passierte auch, allerdings bekam Kanthak nicht mit, dass der Client bereits auf eine v�llig neue Version aktualisiert wurde - eben weil Version 7.40 nach wie vor verf�gbar war. Also entschloss er sich vor kurzem, die L�cke �ffentlich zu machen und das trug zur Verwirrung ma�geblich bei.

Die Folgen sind aber letztlich wohl schwerwiegender als gedacht: Denn laut Rafael Rivera hat Microsoft nun komplett die Distribution von Skype f�r Windows (Desktop) eingestellt, demn�chst k�nnte die gesamte Funktionalit�t des Clients unterbunden werden. Auf Windows 10 wird wohl schon bald die einzige Skype-M�glichkeit �ber die UWP-App f�hren.

Download Skype-Client von Microsoft