- Pesquisadores de segurança compartilham notícias sobre o popular aplicativo de conferência da Microsoft.
- Aparentemente, o Teams ainda está infestado por quatro vulnerabilidades que permitem que invasores se infiltrem.
- Dois deles podem ser usados para permitir a falsificação de solicitação do lado do servidor (SSRF) e spoofing.
- Os outros dois afetam apenas smartphones Android e podem ser explorados para vazar endereços IP.
Estávamos conversando sobre as equipes outro dia, relatando como talvez você não consiga criar novas contas de organização gratuitas, e o aplicativo de conferência principal da Microsoft já está de volta aos holofotes.
E embora nos sintamos melhor quando temos que relatar correções e melhorias, ou novos recursos chegando ao Teams, também temos que informá-lo sobre este risco de segurança.
Aparentemente, os pesquisadores de segurança descobriram quatro vulnerabilidades separadas dentro das equipes, que podem ser explorado para falsificar visualizações de link, vazar endereços IP e até mesmo acessar o sistema interno da Microsoft Serviços.
Quatro vulnerabilidades principais ainda estão sendo exploradas na natureza
Os especialistas da Positive Security descobriram essas vulnerabilidades enquanto procuravam uma maneira de contornar a Política de Mesma Origem (SOP) em Equipes e Electron, de acordo com um postagem do blog.
Caso você não esteja familiarizado com o termo, o SOP é um mecanismo de segurança encontrado em navegadores que ajuda a impedir que sites ataquem uns aos outros.
Ao investigar esse assunto delicado, os pesquisadores descobriram que poderiam contornar o SOP no Teams abusando do recurso de visualização de link do aplicativo.
Isso foi realmente alcançado permitindo que o cliente gere uma visualização do link para a página de destino e, em seguida, usando texto de resumo ou reconhecimento óptico de caracteres (OCR) na imagem de visualização para extrair em formação.
Além disso, ao fazer isso, o cofundador da Positive Security, Fabian Bräunlein, descobriu outras vulnerabilidades não relacionadas na implementação do recurso.
Dois dos quatro bugs desagradáveis encontrados no Microsoft Teams podem ser usados em qualquer dispositivo e permitir falsificação de solicitação do lado do servidor (SSRF) e spoofing.
Os outros dois afetam apenas smartphones Android e podem ser explorados para vazar endereços IP e obter Denial of Service (DOS).
Nem é preciso dizer que, ao explorar a vulnerabilidade do SSRF, os pesquisadores conseguiram vazar informações da rede local da Microsoft.
Ao mesmo tempo, o bug de spoofing pode ser usado para melhorar a eficácia dos ataques de phishing ou para ocultar links maliciosos.
O mais preocupante de todos eles definitivamente deve ser o bug do DOS, já que um invasor pode enviar a um usuário um mensagem que inclui uma visualização de link com um destino de link de visualização inválido para travar o aplicativo Teams para Android.
Infelizmente, o aplicativo continuará a falhar ao tentar abrir o chat ou canal com a mensagem maliciosa.
A Positive Security informou de fato a Microsoft sobre suas descobertas em 10 de março, por meio de seu programa de recompensa por bug. Desde então, a gigante da tecnologia corrigiu apenas a vulnerabilidade de vazamento de endereço IP no Teams for Android.
Mas agora que essas informações desconcertantes são públicas e as consequências dessas vulnerabilidades bem claras, a Microsoft terá que acelerar seu jogo e propor algumas soluções rápidas e eficazes.
Você teve algum problema de segurança ao usar o Teams? Compartilhe sua experiência conosco na seção de comentários abaixo.
