Podle analytiků ze společnosti Vectra zabývající se kybernetickou bezpečností existuje obrovská zranitelnost v rámci Microsoft Teams a potenciálně by mohlo být postiženo bezpočet uživatelů, pokud by se do nich dostali hackeři.
Program má chybu, která umožňuje útočníkům ukrást přihlašovací údaje uživatelů a přihlásit se k jejich účtům. Bohužel Microsoft neplánuje tuto opravu právě teď, takže čtěte dále, abyste se ujistili, že zůstanete v bezpečí před tímto neočekávaným Problém s Microsoft Teams.
Tato chyba, poprvé objevená v srpnu 2022, je docela závažná, ale také není příliš snadné ji provést. Platí pro desktopové verze Microsoft Teams softwaru (tedy ne verze prohlížeče) a ovlivňuje uživatele v systémech Windows, Linux a Mac.
Příbuzný
- Nejběžnější problémy s Microsoft Teams a jak je vyřešit
- Microsoft Teams získává nové nástroje umělé inteligence – a jsou zdarma
- Čínští hackeři se zaměřují na kritickou americkou infrastrukturu, varuje Microsoft
Vše souvisí se způsobem, jakým Teams ukládá tokeny pro ověřování uživatelů – v čistém textu, bez jakékoli další ochrany. To by bylo katastrofální, kdyby se nespoléhalo na jeden klíčový faktor: Útočník musí mít místní přístup k systému, kde je nainstalován Microsoft Teams.
Doporučená videa
Za předpokladu, že útočník má místní přístup k síti, mohl by ukrást ověřovací tokeny a přihlásit se k účtu oběti.
Connor Peoples, výzkumník z Vectra, řekl, že hrozba leží hlouběji než jen jeden účet, který byl kompromitován; umožňuje útočníkovi unést účty, které by mohly potenciálně narušit provoz celé organizace.
„[Převzít] kontrolu nad kritickými místy – jako je šéf inženýrství, CEO nebo CFO – útočníci mohou přesvědčit uživatele, aby provedli úkoly poškozující organizaci,“ uvedl Peoples v zpráva.
Jak to všechno funguje? Pípavý počítač vysvětlil to podrobněji, ale krátký příběh je, že Microsoft Teams je aplikace Electron a přichází se všemi prvky, které vyžaduje jakákoli běžná webová stránka, jako jsou soubory cookie a řetězce relací. Electron nepodporuje šifrování souborů ani zřizování chráněných míst, a proto nejsou přihlašovací údaje uživatele chráněny tak, jak by měly být.
Během svého výzkumu Vectra nalezla soubor s přístupem k uživatelským tokenům v čistém textu. „Po kontrole bylo zjištěno, že tyto přístupové tokeny byly aktivní a nejednalo se o náhodný výpis předchozí chyby. Tyto přístupové tokeny nám umožnily přístup k Outlook a Skype API,“ uvádí zpráva společnosti.
Při dalším výzkumu bylo nalezeno ještě více dat, včetně platných ověřovacích tokenů a informací o účtu. Vectra také našla způsob, jak aplikaci využít, a byla schopna přijímat tokeny ve vlastním okně chatu.
Je znepokojivé, že tato chyba zabezpečení je v současné době venku, ale Microsoft ji nepovažuje za dostatečně velkou hrozbu, aby na ní pracoval jako prioritu. Mluvčí Microsoftu řekl Bleeping Computer: „Popsaná technika nesplňuje naše požadavky na okamžitý servis, protože vyžaduje, aby útočník nejprve získal přístup k cílové síti. Oceňujeme partnerství společnosti Vectra Protect při identifikaci a zodpovědném odhalování tohoto problému a zvážíme jeho řešení v budoucí verzi produktu.“
Pokud se mezitím obáváte o zabezpečení svého účtu Teams, je dobré přejít na verzi aplikace Teams v prohlížeči namísto desktopového klienta. Uživatelům Linuxu se však doporučuje jednoduše přejít na jinou aplikaci – zejména proto, že Microsoft plánuje ukončení podpory linuxové verze Teams do konce tohoto roku.
Doporučení redakce
- Jak vás může váš šéf špehovat pomocí Slack, Zoom a Teams
- Jak odstranit stránku ve Wordu
- Toto kritické zneužití by mohlo hackerům umožnit obejít obranu vašeho Macu
- Nyní si můžete vyzkoušet avatary a virtuální prostory v Microsoft Teams
- Microsoft Build 2023: největší oznámení v oblasti AI, Windows a dalších
Upgradujte svůj životní stylDigitální trendy pomáhají čtenářům mít přehled o rychle se měnícím světě technologií se všemi nejnovějšími zprávami, zábavnými recenzemi produktů, zasvěcenými úvodníky a jedinečnými náhledy.
