- Истраживачи безбедности деле забрињавајуће вести о популарној Мицрософт-овој апликацији за конференције.
- Очигледно, Теамс и даље муче четири рањивости које омогућавају нападачима да се инфилтрирају.
- Два од њих се могу користити да омогући фалсификовање захтева на страни сервера (ССРФ) и лажирање.
- Друга два утичу само на Андроид паметне телефоне и могу се искористити за цурење ИП адреса.
Управо смо причали о тимовима пре неки дан, извештавајући о томе како можда нећете моћи да креирате нове бесплатне налоге организације, а Мицрософт-ова најбоља апликација за конференције већ је поново у центру пажње.
И иако се осећамо боље када морамо да пријавимо поправке и побољшања, или нове функције које стижу у Тимове, такође морамо да вас обавестимо о овом безбедносном ризику.
Очигледно, истраживачи безбедности су открили четири одвојене рањивости унутар тимова, што би могло бити искоришћава се да би се лажирали прегледи веза, процуриле ИП адресе, па чак и приступиле Мицрософт-овом интерном услуге.
Четири главне рањивости се још увек користе у дивљини
Стручњаци из Позитивне безбедности наишли су на ове рањивости док су тражили начин да заобиђу Политику истог порекла (СОП) у тимовима и Елецтрон-у, према блог пост.
Само у случају да нисте упознати са термином, СОП је безбедносни механизам који се налази у прегледачима који помаже да се веб локације не нападају једна на другу.
Истражујући ову осетљиву ствар, истраживачи су открили да могу да заобиђу СОП у тимовима злоупотребом функције прегледа везе у апликацији.
Ово је заправо постигнуто омогућавањем клијенту да генерише преглед везе за циљну страницу, а затим користећи или сажетак текста или оптичко препознавање знакова (ОЦР) на слици за преглед за издвајање информације.
Такође, док је то радио, суоснивач Поситиве Сецурити Фабиан Браунлеин открио је и друге неповезане рањивости у имплементацији ове функције.
Две од четири гадне грешке пронађене у Мицрософт тимовима могу се користити на било ком уређају и омогућавају фалсификовање захтева на страни сервера (ССРФ) и лажирање.
Друга два утичу само на Андроид паметне телефоне и могу се искористити за цурење ИП адреса и постизање ускраћивања услуге (ДОС).
Подразумева се да су, искоришћавањем ССРФ рањивости, истраживачи успели да процуре информације из Мицрософтове локалне мреже.
У исто време, грешка за лажирање се може користити за побољшање ефикасности пхисхинг напада или за сакривање злонамерних веза.
Највише забрињавајућа од свих би свакако требало да буде ДОС грешка, пошто нападач може да пошаље кориснику а порука која укључује преглед везе са неважећим циљем везе за преглед ради рушења апликације Теамс Андроид.
Нажалост, апликација ће наставити да се руши када покушате да отворите ћаскање или канал са злонамерном поруком.
Поситиве Сецурити је у ствари обавестио Мицрософт о својим налазима 10. марта кроз свој програм за награђивање грешака. Од тада, технолошки гигант је само закрпио рањивост на цурење ИП адресе у тимовима за Андроид.
Али сада када су ове узнемирујуће информације јавне и последице ових рањивости прилично јасне, Мицрософт ће морати да појача своју игру и смисли нека брза, ефикасна решења.
Да ли сте наишли на безбедносне проблеме док сте користили Теамс? Поделите своје искуство са нама у одељку за коментаре испод.
