Voilà qui risque de favoriser la migration vers la plus récente version du logiciel : un bug a été déniché dans Skype, sous Windows. Il permet à un attaquant distant de télécharger un fichier depuis le PC affecté, sans aucune permission. Un bug classé par l’éditeur, propriété d’eBay, comme étant de « risque moyen ».

L’attaque se fait via les URL maison qui, spécialement formées, permettent ainsi de transférer un fichier d’un usager Skype vers un autre. Nul besoin de crier au loup trop fort : la migration de ce fichier accidentellement voyageur se fait avec l’affichage de la fenêtre de transfert habituelle de fichiers. Une alerte qui rend quelque peu plus hasardeuse les attaques d'autant qu'un clic sur « Cancel » stoppe la transmission. Autre restriction à une exploitation de masse, la nécessité pour l’attaquant de connaître l’emplacement exact du ficher et d'être devant son PC pour accepter le transfert de son côté.


Toutes les versions 2.0.*.104 et la 2.5.*.0 (2.5.*.78 incluse) sont impactées. Il suffira ainsi de faire la mise à jour vers la version Skype 2.5, release 2.5.*.79 ou au-delà, ou Skype 2.0, release 2.0.*.105 ou ultérieure, qui toutes les deux, corrigent ce bug de l’Uniform Resource Identifier.