- Varnostni raziskovalci delijo zaskrbljujoče novice o priljubljeni Microsoftovi aplikaciji za konference.
- Očitno Teams še vedno pestijo štiri ranljivosti, ki napadalcem omogočajo infiltriranje.
- Dva od njih je mogoče uporabiti za omogočanje ponarejanja zahtev na strani strežnika (SSRF) in ponarejanja.
- Druga dva vplivata samo na pametne telefone Android in ju je mogoče izkoristiti za puščanje naslovov IP.
Pred dnevi smo ravno govorili o Teams in poročali o tem, kako morda ne boste mogli ustvariti novih brezplačnih računov organizacije, Microsoftova najboljša aplikacija za konference pa je že spet v središču pozornosti.
In čeprav se počutimo bolje, ko moramo poročati o popravkih in izboljšavah ali novih funkcijah, ki prihajajo v Teams, vas moramo tudi obvestiti o tem varnostnem tveganju.
Očitno so varnostni raziskovalci v Teams odkrili štiri ločene ranljivosti, kar bi lahko bilo izkoriščajo za lažne predoglede povezav, puščajo naslove IP in celo dostopajo do Microsoftovega internega storitve.
V naravi se še vedno izkoriščajo štiri velike ranljivosti
Strokovnjaki iz Pozitivne varnosti so naleteli na te ranljivosti, medtem ko so iskali način, kako zaobiti politiko istega izvora (SOP) v Teams in Electron, pravi blog objava.
Samo v primeru, da niste seznanjeni z izrazom, je SOP varnostni mehanizem, ki ga najdemo v brskalnikih, ki pomaga preprečiti, da bi spletna mesta napadala drug drugega.
Med preiskovanjem te občutljive zadeve so raziskovalci ugotovili, da bi lahko zaobšli SOP v Teams z zlorabo funkcije za predogled povezave v aplikaciji.
To je bilo dejansko doseženo tako, da je stranki omogočilo, da ustvari predogled povezave za ciljno stran in nato z uporabo besedila povzetka ali optičnega prepoznavanja znakov (OCR) na predogledni sliki za ekstrakcijo informacije.
Med tem je tudi soustanovitelj Positive Security Fabian Bräunlein odkril tudi druge nepovezane ranljivosti pri implementaciji funkcije.
Dve od štirih neprijetnih hroščev, ki jih najdemo v Microsoftovih ekipah, je mogoče uporabiti v kateri koli napravi in omogočata ponarejanje zahtev na strani strežnika (SSRF) in ponarejanje.
Druga dva vplivata samo na pametne telefone Android in ju je mogoče izkoristiti za puščanje naslovov IP in doseganje zavrnitve storitve (DOS).
Samoumevno je, da so raziskovalci z izkoriščanjem ranljivosti SSRF lahko odkrili informacije iz Microsoftovega lokalnega omrežja.
Hkrati se lahko napaka za lažno predstavljanje uporablja za izboljšanje učinkovitosti napadov z lažnim predstavljanjem ali za skrivanje zlonamernih povezav.
Najbolj zaskrbljujoča med vsemi bi vsekakor morala biti napaka DOS, saj lahko napadalec uporabniku pošlje a sporočilo, ki vključuje predogled povezave z neveljavnim ciljem povezave za predogled, za katerega se zruši aplikacija Teams Android.
Na žalost se bo aplikacija še naprej zrušila, ko bo poskušal odpreti klepet ali kanal z zlonamernim sporočilom.
Pozitivna varnost je dejansko obvestila Microsoft o svojih ugotovitvah 10. marca prek svojega programa za nagrajevanje napak. Od takrat je tehnološki velikan le popravil ranljivost zaradi puščanja naslova IP v Teams za Android.
Toda zdaj, ko so te zaskrbljujoče informacije javne in so posledice teh ranljivosti precej jasne, bo moral Microsoft okrepiti svojo igro in pripraviti nekaj hitrih in učinkovitih popravkov.
Ali ste med uporabo Teams naleteli na kakšne varnostne težave? Delite svoje izkušnje z nami v spodnjem razdelku za komentarje.
