Microsoft Teams speichert Authentifizierungstoken im Klartext, der nicht so schnell gepatcht werden kann

Der Microsoft Teams-Client speichert Benutzerauthentifizierungstoken in einem ungesicherten Textformat, was es Angreifern mit lokalem Zugriff möglicherweise ermöglicht, Nachrichten zu posten und sich im Unternehmen zu bewegen, selbst wenn die Zwei-Faktor-Authentifizierung aktiviert ist, so das Cybersicherheitsunternehmen.

Vectra empfiehlt, den Desktop-Client von Microsoft zu meiden, der auf der Electron-Plattform zum Erstellen von Anwendungen mithilfe von Browser-Technologien basiert, bis Microsoft den Fehler behebt. Die Verwendung des Teams-Webclients in einem Browser wie Microsoft Edge sei paradoxerweise sicherer, behauptet Vectra. Das gemeldete Problem betrifft Windows-, Mac- und Linux-Benutzer.

Microsoft seinerseits ist der Ansicht, dass der Vectra-Exploit „unsere Anforderungen an sofortigen Service nicht erfüllt“, da andere Schwachstellen erforderlich wären, um überhaupt in das Netzwerk einzudringen. Ein Sprecher sagte gegenüber Dark Reading , dass das Unternehmen „die Lösung (des Problems) in einer zukünftigen Produktveröffentlichung prüfen werde“.

Vectra-Forscher entdeckten die Schwachstelle, als sie einem Kunden halfen, der versuchte, ein deaktiviertes Konto aus seinem Teams-Setup zu entfernen. Microsoft erfordert, dass Benutzer für die Deinstallation angemeldet sind, daher hat Vectra die Konfigurationsdaten des lokalen Kontos untersucht. Sie wollten Links zum angemeldeten Konto entfernen. Stattdessen fanden sie beim Nachschlagen des Benutzernamens in den Anwendungsdateien Token, die den Zugriff auf Skype und Outlook gewähren. Jeder gefundene Token war aktiv und konnte Zugriff gewähren, ohne eine Zwei-Faktor-Verifizierung auszulösen.

Darüber hinaus erstellten sie einen experimentellen Exploit. Ihre Version lädt die SQLite-Engine in einen lokalen Ordner herunter, scannt damit den lokalen Speicher der Teams-App nach einem Authentifizierungstoken und sendet dann eine Nachricht mit hoher Priorität mit dem eigenen Text des Tokens an den Benutzer. Die möglichen Folgen dieses Exploits gehen natürlich über das Phishing einiger Benutzer mit ihren eigenen Token hinaus:

Jeder, der in diesem Zustand den Microsoft Teams-Client installiert und verwendet, behält die erforderlichen Anmeldeinformationen, um alle über die Teams-Benutzeroberfläche möglichen Aktionen auszuführen, auch wenn Teams geschlossen ist. Dies ermöglicht es Angreifern, SharePoint-Dateien, Outlook-Mails und -Kalender sowie Teams-Chat-Dateien zu ändern. Noch gefährlicher ist, dass Angreifer die legitime Kommunikation innerhalb einer Organisation stören können, indem sie selektiv zerstören, exfiltrieren oder gezielte Phishing-Angriffe durchführen. Derzeit sind die Möglichkeiten eines Angreifers, sich in der Umgebung Ihres Unternehmens zu bewegen, nicht eingeschränkt.

Vectra weist darauf hin, dass die Navigation durch den Benutzerzugriff auf Teams eine besonders ergiebige Quelle für Phishing-Angriffe darstellt, da sich Angreifer als CEOs oder andere Führungskräfte ausgeben und Aktionen und Klicks von Mitarbeitern auf niedrigeren Ebenen anfordern können. Dies ist eine Strategie, die als Business Email Compromise (BEC) bekannt ist. Sie können darüber im Microsoft-Blog „On the Issues“ lesen .

Bisher wurde festgestellt, dass Elektronenanwendungen schwerwiegende Sicherheitsprobleme bergen. Eine Präsentation aus dem Jahr 2019 zeigte, wie Browser-Schwachstellen ausgenutzt werden können, um Code in Skype, Slack, WhatsApp und andere Electron-Apps einzuschleusen. Im Jahr 2020 wurde eine weitere Schwachstelle in der Desktop-Anwendung WhatsApp Electron entdeckt, die den lokalen Zugriff auf Dateien über in Nachrichten eingebettetes JavaScript ermöglicht.

Wir haben Microsoft um einen Kommentar gebeten und werden diesen Beitrag aktualisieren, wenn wir eine Antwort erhalten.

Vectra empfiehlt Entwicklern, wenn sie „Electron für ihre Anwendung verwenden müssen“, OAuth-Token mithilfe von Tools wie KeyTar sicher zu speichern. Connor Peoples, Sicherheitsarchitekt bei Vectra, sagte gegenüber Dark Reading, dass er davon überzeugt sei, dass Microsoft sich von Electron abwende und hin zu Progressive Web Apps übergehe, die eine bessere Sicherheit auf Betriebssystemebene in Bezug auf Cookies und Speicher bieten würden.