- Drošības pētnieki dalās ar ziņām par Microsoft populāro konferenču lietotni.
- Acīmredzot Teams joprojām nomoka četras ievainojamības, kas ļauj iefiltrēties uzbrucējiem.
- Var izmantot divus no tiem lai atļautu servera puses pieprasījumu viltošanu (SSRF) un viltošanu.
- Pārējie divi attiecas tikai uz Android viedtālruņiem, un tos var izmantot, lai nopludinātu IP adreses.
Mēs tikko runājām par Teams citu dienu, ziņojām par to, kā iespējams, nevarēsit izveidot jaunus bezmaksas organizācijas kontus, un Microsoft labākā konferenču lietotne jau atkal ir uzmanības centrā.
Un, lai gan mēs jūtamies labāk, ja mums ir jāziņo par labojumiem un uzlabojumiem vai jaunām funkcijām, kas tiek piedāvātas Teams, mums ir arī jāinformē jūs par šo drošības risku.
Acīmredzot drošības pētnieki ir atklājuši četras atsevišķas Teams ievainojamības, kas varētu būt tiek izmantota, lai viltotu saišu priekšskatījumus, nopludinātu IP adreses un pat piekļūtu Microsoft iekšējai informācijai. pakalpojumus.
Savvaļā joprojām tiek izmantotas četras galvenās ievainojamības
Pozitīvās drošības eksperti uzdūrās šīm ievainojamībām, meklējot veidu, kā apiet vienas izcelsmes politiku (SOP) programmās Teams un Electron. emuāra ieraksts.
Gadījumā, ja neesat pazīstams ar šo terminu, SOP ir pārlūkprogrammās atrodams drošības mehānisms, kas palīdz neļaut vietnēm uzbrukt viena otrai.
Izmeklējot šo sensitīvo jautājumu, pētnieki atklāja, ka viņi varētu apiet SOP programmā Teams, ļaunprātīgi izmantojot lietotnes saites priekšskatījuma funkciju.
Tas faktiski tika panākts, ļaujot klientam ģenerēt saites priekšskatījumu mērķa lapai un pēc tam izvilkšanai izmantojot priekšskatījuma attēla kopsavilkuma tekstu vai optisko rakstzīmju atpazīšanu (OCR). informāciju.
Turklāt, to darot, Positive Security līdzdibinātājs Fabians Braunleins atklāja arī citas nesaistītas ievainojamības funkcijas ieviešanā.
Divas no četrām nepatīkamajām kļūdām, kas atrastas programmā Microsoft Teams, var izmantot jebkurā ierīcē un ļauj veikt servera puses pieprasījumu viltošanu (SSRF) un viltošanu.
Pārējie divi attiecas tikai uz Android viedtālruņiem, un tos var izmantot, lai nopludinātu IP adreses un panāktu pakalpojuma atteikumu (DOS).
Pats par sevi saprotams, ka, izmantojot SSRF ievainojamību, pētnieki varēja nopludināt informāciju no Microsoft lokālā tīkla.
Tajā pašā laikā viltošanas kļūdu var izmantot, lai uzlabotu pikšķerēšanas uzbrukumu efektivitāti vai slēptu ļaunprātīgas saites.
Satraucošākā no tām noteikti ir DOS kļūda, jo uzbrucējs var nosūtīt lietotājam a ziņojums, kurā ir ietverts saites priekšskatījums ar nederīgu priekšskatījuma saites mērķi, kura dēļ Teams lietotne avarē Android.
Diemžēl, mēģinot atvērt tērzēšanu vai kanālu ar ļaunprātīgo ziņojumu, lietotne turpinās avarēt.
Pozitīvā drošība faktiski informēja Microsoft par saviem atklājumiem 10. martā, izmantojot savu kļūdu novēršanas programmu. Kopš tā laika tehnoloģiju gigants ir izlabojis tikai IP adreses noplūdes ievainojamību programmā Teams for Android.
Bet tagad, kad šī mulsinošā informācija ir publiska un šo ievainojamību sekas ir diezgan skaidras, Microsoft būs jāpastiprina sava spēle un jānāk klajā ar dažiem ātriem, efektīviem labojumiem.
Vai, izmantojot Teams, jums ir radušās drošības problēmas? Dalieties pieredzē ar mums komentāru sadaļā zemāk.
