Microsoft टीम का शोषण आपके खाते को असुरक्षित बना सकता है

साइबर सुरक्षा कंपनी वेक्ट्रा के विश्लेषकों के अनुसार, माइक्रोसॉफ्ट टीम्स के भीतर एक बड़ी भेद्यता है, और अगर हैकर्स के हाथ यह लग गया तो अनगिनत उपयोगकर्ता संभावित रूप से प्रभावित हो सकते हैं।

प्रोग्राम में एक दोष है जो हमलावरों के लिए उपयोगकर्ताओं की लॉगिन क्रेडेंशियल चुराना और उनके खातों में लॉग इन करना संभव बनाता है। दुर्भाग्य से, Microsoft अभी इसे ठीक करने की योजना नहीं बना रहा है, इसलिए यह सुनिश्चित करने के लिए पढ़ें कि आप इस अप्रत्याशित से सुरक्षित हैं माइक्रोसॉफ्ट टीम्स मुद्दा.

अगस्त 2022 में पहली बार खोजी गई यह खामी काफी गंभीर है, लेकिन इसे लागू करना भी आसान नहीं है। यह के डेस्कटॉप संस्करणों पर लागू होता है माइक्रोसॉफ्ट टीमें सॉफ़्टवेयर (इसलिए ब्राउज़र संस्करण नहीं) और विंडोज़, लिनक्स और मैक पर उपयोगकर्ताओं को प्रभावित करता है।

यह सब टीम द्वारा उपयोगकर्ता प्रमाणीकरण टोकन को संग्रहीत करने के तरीके पर निर्भर करता है - स्पष्ट पाठ में, बिना किसी अतिरिक्त सुरक्षा के। यह विनाशकारी होगा यदि यह एक प्रमुख कारक पर भरोसा नहीं करता है: एक हमलावर को उस सिस्टम तक स्थानीय पहुंच की आवश्यकता होती है जहां Microsoft टीम स्थापित है।

यह मानते हुए कि किसी हमलावर के पास नेटवर्क तक स्थानीय पहुंच है, वे प्रमाणीकरण टोकन चुरा सकते हैं और पीड़ित के खाते में लॉग इन कर सकते हैं।

वेक्ट्रा के एक शोधकर्ता कॉनर पीपल्स ने कहा कि खतरा केवल एक खाते से समझौता किए जाने से कहीं अधिक गहरा है; यह हमलावर को उन खातों को हाईजैक करने की अनुमति देता है जो संभावित रूप से पूरे संगठन के संचालन को बाधित कर सकते हैं।

"[टेकिंग] महत्वपूर्ण सीटों पर नियंत्रण - जैसे कि कंपनी के इंजीनियरिंग प्रमुख, सीईओ, या सीएफओ - हमलावर उपयोगकर्ताओं को संगठन के लिए हानिकारक कार्य करने के लिए मना सकते हैं," पीपल्स ने कहा प्रतिवेदन.

यह सब कैसे काम करता है? ब्लिपिंग कंप्यूटर इसे अधिक विस्तार से समझाया, लेकिन संक्षिप्त कहानी यह है कि माइक्रोसॉफ्ट टीम्स एक इलेक्ट्रॉन ऐप है और किसी भी नियमित वेबपेज के लिए आवश्यक सभी तत्वों, जैसे कुकीज़ और सत्र स्ट्रिंग्स के साथ आता है। इलेक्ट्रॉन फ़ाइल एन्क्रिप्शन या संरक्षित स्थानों की स्थापना का समर्थन नहीं करता है, यही कारण है कि उपयोगकर्ता क्रेडेंशियल को उस तरह संरक्षित नहीं किया जा रहा है जैसा उन्हें किया जाना चाहिए।

अपने शोध के दौरान, वेक्ट्रा को स्पष्ट पाठ में उपयोगकर्ता टोकन तक पहुंच वाली एक फ़ाइल मिली। “समीक्षा करने पर, यह निर्धारित किया गया कि ये एक्सेस टोकन सक्रिय थे और पिछली त्रुटि का आकस्मिक डंप नहीं था। इन एक्सेस टोकन ने हमें आउटलुक और स्काइप एपीआई तक पहुंच प्रदान की, ”कंपनी की रिपोर्ट में कहा गया है।

आगे के शोध पर और भी अधिक डेटा पाया गया, जिसमें वैध प्रमाणीकरण टोकन और खाता जानकारी शामिल थी। वेक्ट्रा ने ऐप का फायदा उठाने का एक तरीका भी ढूंढ लिया और अपनी चैट विंडो में टोकन प्राप्त करने में सक्षम हो गया।

यह चिंताजनक है कि यह भेद्यता वर्तमान में मौजूद है, लेकिन Microsoft इसे इतना बड़ा खतरा नहीं मानता कि इसे प्राथमिकता के रूप में ठीक करने पर काम किया जाए। माइक्रोसॉफ्ट के एक प्रवक्ता ने ब्लीपिंग कंप्यूटर को बताया: “वर्णित तकनीक तत्काल सर्विसिंग के लिए हमारी शर्तों को पूरा नहीं करती है क्योंकि इसके लिए हमलावर को पहले लक्ष्य नेटवर्क तक पहुंच प्राप्त करने की आवश्यकता होती है। हम इस मुद्दे की पहचान करने और जिम्मेदारी से खुलासा करने में वेक्ट्रा प्रोटेक्ट की साझेदारी की सराहना करते हैं और भविष्य के उत्पाद रिलीज में इसे संबोधित करने पर विचार करेंगे।

इस बीच, यदि आप अपने टीम खाते की सुरक्षा के बारे में चिंतित हैं, तो डेस्कटॉप क्लाइंट के बजाय टीम्स के ब्राउज़र संस्करण पर स्विच करना एक अच्छा विचार है। हालाँकि, लिनक्स उपयोगकर्ताओं को सलाह दी जाती है कि वे बस एक अलग ऐप पर स्विच करें - खासकर क्योंकि माइक्रोसॉफ्ट इस साल के अंत तक टीम्स के लिनक्स संस्करण का समर्थन बंद करने की योजना बना रहा है।

संपादकों की सिफ़ारिशें

• कैसे आपका बॉस स्लैक, ज़ूम और टीम्स के साथ आपकी जासूसी कर सकता है
• वर्ड में पेज कैसे डिलीट करें
• यह महत्वपूर्ण कारनामा हैकर्स को आपके मैक की सुरक्षा को दरकिनार करने दे सकता है
• अब आप Microsoft Teams में अवतार और वर्चुअल स्पेस आज़मा सकते हैं
• माइक्रोसॉफ्ट बिल्ड 2023: एआई, विंडोज़ और अन्य में सबसे बड़ी घोषणाएँ

अपनी जीवनशैली को उन्नत करेंडिजिटल ट्रेंड्स पाठकों को सभी नवीनतम समाचारों, मजेदार उत्पाद समीक्षाओं, व्यावहारिक संपादकीय और एक तरह की अनूठी झलक के साथ तकनीक की तेज़ गति वाली दुनिया पर नज़र रखने में मदद करता है।