iOS版Skype存在漏洞 可导致地址簿被窃

据科技博客Techcrunch报道，3.0.1及之前版本的iOS版Skype“聊天信息”窗口存在跨站点脚本漏洞，可导致用户的手机地址薄被窃。该漏洞使得攻击者可以执行恶意JavaScript代码，当受害者查看聊天信息时，包括地址簿在内的用户个人信息就可能遭到窃取。Skype方面承认已经意识到了这个错误，并发表声明称正在加紧在下一个版本修复。目前它要求用户只接受来自好友的要求，并提高警惕。

AppSec 咨询安全研究员菲尔?珀维安斯（ Phil Purviance）表示，可以执行恶意JavaScript代码只是漏洞之一，他还发现Skype内置的webkit浏览器使用了Skype错误定义的URI方案（URI scheme）。本来方案中的设置应该为“about:blank”或“skype-randomtoken”，但在Skype中实际却设置为 “ file://”。这使得Skype能访问的文件系统，攻击者就可以任意访问。

　　由于苹果实行了iOS应用沙盒，防止攻击者访问某些敏感文件，因此文件系统访问的问题不会很严重，但是任何iOS应用都可以访问用户的地址簿，Skype也不例外。

　　珀维安斯还在Twitter上表示，一个月前他就像Skype报告了相关的XSS漏洞。