Schrödingers Schwachstelle:
Skype hatte Lücke und hatte keine Lücke

Anfang dieser Woche sorgte eine angeblich schwere Lücke in der Desk­top-Anwendung von Skype für Verunsicherung und Verwirrung. Eine entscheidende Rolle spielte hier die Versionsnummer und bis heute ist das Vorgehen vom Microsoft etwas undurchsichtig. Klar ist nun aber auch: Nach dieser Episode dürfte der klassische Client Geschichte sein. Sicherheitslücken können dramatische Folgen haben und manchmal gibt es Berichte, die sich im Nahhinein als nicht so schwerwiegend herausstellen bzw. bei denen die Umstände eine große Rolle spielen. Die jüngste Sache mit Skype ist so eine Story. Denn auch wir haben berichtet, dass Microsoft eine Skype-Lücke nicht schließen konnte oder wollte, genauer gesagt ging es um eine Schwachstelle, mit dem der Updater zur Installation einer manipulierten DLL-Datei gebracht werden konnte.

Zweigleisig

Die Besonderheit bei der ganzen Sache war: Eine Version war betroffen, die andere nicht. Denn bei der x86-Ausgabe von Skype ist Microsoft bis vor kurzem zweigleisig gefahren. Kurz gesagt: In der aktuellsten Skype-Version 8.15.0.4 wurde die Schwachstelle bereits im vergangenen Oktober geschlossen.

In der bzw. bis zur Ausgabe mit der Nummer 7.40.0.104 war die schwere Lücke aber nach wie vor offen. Das Problem: Bis gestern war diese Version noch offiziell zu bekommen, wenn auch etwas versteckt. Denn viele Nutzer wurden mit Version 8 nicht warm, weshalb Microsoft die alte Software nach wie vor offiziell im Angebot hatte. Microsoft hat sie aber eben erst gestern entfernt.

Auch Entdecker der Lücke verwirrt

Maßgeblich beteiligt an der Verwirrung war auch der Entdecker der Lücke, der Deutsche Stefan Kanthak (via The Register). Denn diesem wurde im Herbst mitgeteilt, dass ein Fix ein weitreichendes Umschreiben des Codes erfordern würde. Das passierte auch, allerdings bekam Kanthak nicht mit, dass der Client bereits auf eine völlig neue Version aktualisiert wurde - eben weil Version 7.40 nach wie vor verfügbar war. Also entschloss er sich vor kurzem, die Lücke öffentlich zu machen und das trug zur Verwirrung maßgeblich bei.

Die Folgen sind aber letztlich wohl schwerwiegender als gedacht: Denn laut Rafael Rivera hat Microsoft nun komplett die Distribution von Skype für Windows (Desktop) eingestellt, demnächst könnte die gesamte Funktionalität des Clients unterbunden werden. Auf Windows 10 wird wohl schon bald die einzige Skype-Möglichkeit über die UWP-App führen.

Download Skype-Client von Microsoft