Microsoft Teams salvestab autentimismärgid selge tekstina, mida kiiresti ei parandata

Microsoft Teamsi klient salvestab kasutaja autentimismärgid turvamata tekstivormingus, võimaldades küberturbeettevõtte andmetel potentsiaalselt kohaliku juurdepääsuga ründajatel sõnumeid postitada ja organisatsioonis ringi liikuda isegi siis, kui kahefaktoriline autentimine on lubatud.

Vectra soovitab vältida Microsofti töölauaklienti, mis on loodud platvormi Electron abil, et luua rakendusi brauseritehnoloogiate abil, kuni Microsoft vea parandab. Teamsi veebikliendi kasutamine brauseris nagu Microsoft Edge on paradoksaalsel kombel turvalisem, väidab Vectra. Teatatud probleem mõjutab Windowsi, Maci ja Linuxi kasutajaid.

Microsoft omalt poolt usub, et Vectra ärakasutamine “ei vasta meie viivitamatu teeninduse nõuetele”, kuna võrku imbumiseks on vaja muid turvaauke. Pressiesindaja ütles Dark Readingile , et ettevõte “vaatab (probleemi) lahenduse tulevases tooteväljaandes”.

Vectra teadlased avastasid haavatavuse, aidates klienti, kes üritas oma Teamsi seadistustest eemaldada keelatud kontot. Microsoft nõuab, et kasutajad oleksid desinstallimiseks sisse logitud, nii et Vectra uuris kohaliku konto konfiguratsiooni andmeid. Nende eesmärk oli eemaldada sisselogitud konto lingid. Selle asemel leidsid nad rakendusfailidest kasutajanime otsides märke, mis annavad juurdepääsu Skype’ile ja Outlookile. Iga leitud märk oli aktiivne ja võis anda juurdepääsu ilma kahefaktorilist kinnitamist käivitamata.

Edasi minnes lõid nad eksperimentaalse ärakasutamise. Nende versioon laadib SQLite’i mootori alla kohalikku kausta, kasutab seda Teamsi rakenduse kohaliku salvestusruumi autentimisloa otsimiseks ja saadab seejärel kasutajale kõrge prioriteediga sõnumi koos loa enda tekstiga. Selle ärakasutamise võimalikud tagajärjed on muidugi enamat kui mõne kasutaja andmepüügi oma žetoonidega:

Igaüks, kes installib ja kasutab Microsoft Teamsi klienti selles olekus, säilitab Teamsi kasutajaliidese kaudu võimalike toimingute tegemiseks vajalikud mandaadid isegi siis, kui Teams on suletud. See võimaldab ründajatel muuta SharePointi faile, Outlooki meile ja kalendreid ning Teamsi vestlusfaile. Veelgi ohtlikum on see, et ründajad võivad sekkuda organisatsioonisisesesse seaduslikku suhtlust, hävitades, eksfiltreerides või sooritades sihitud andmepüügirünnakuid. Hetkel ei ole ründaja võimalus Sinu ettevõtte keskkonnas ringi liikuda.

Vectra märgib, et kasutajate juurdepääsu kaudu Teamsile navigeerimine on andmepüügirünnakute jaoks eriti rikkalik allikas, kuna ründajad võivad esineda tegevjuhtide või muude juhtidena ning nõuda madalama taseme töötajatelt tegevusi ja klikke. See on strateegia, mida tuntakse ärimeili kompromissina (BEC); selle kohta saate lugeda Microsofti blogist On the Issues .

Varem leiti, et elektronrakendused sisaldavad tõsiseid turvaprobleeme. 2019. aasta esitlus näitas, kuidas brauseri turvaauke saab ära kasutada koodi sisestamiseks Skype’i, Slacki, WhatsAppi ja teistesse Electroni rakendustesse. 2020. aastal avastati WhatsApp Electroni töölauarakenduses veel üks haavatavus, mis võimaldab sõnumitesse manustatud JavaScripti kaudu kohalikku juurdepääsu failidele.

Oleme kommentaaride saamiseks ühendust võtnud Microsoftiga ja värskendame seda postitust, kui saame vastuse.

Vectra soovitab arendajatel, kui neil on vaja oma rakenduse jaoks Electroni kasutada, OAuthi märgid turvaliselt salvestada, kasutades selliseid tööriistu nagu KeyTar. Vectra turvaarhitekt Connor Peoples ütles Dark Readingile, et ta usub, et Microsoft eemaldub Electronist ja liigub progressiivsete veebirakenduste poole, mis tagab küpsiste ja salvestusruumi parema OS-taseme turvalisuse.