A Vectra kiberbiztonsági cég elemzői szerint hatalmas sebezhetőség van a Microsoft Teamsben, és számtalan felhasználót érinthet, ha hackerek ráakadnak.
A programnak van egy hibája, amely lehetővé teszi a támadók számára, hogy ellopják a felhasználók bejelentkezési adatait, és bejelentkezzenek a fiókjukba. Sajnos a Microsoft jelenleg nem tervezi ennek javítását, ezért olvassa tovább, hogy megbizonyosodjon arról, hogy biztonságban van ettől a váratlantól Microsoft Teams probléma.
Ez a hiba, amelyet először 2022 augusztusában fedeztek fel, meglehetősen súlyos, de kivitelezése sem túl egyszerű. A program asztali verzióira vonatkozik Microsoft Teams szoftver (tehát nem a böngésző verziója), és hatással van a Windows, Linux és Mac felhasználókra.
Összefüggő
- A Microsoft Teams leggyakoribb problémái és megoldásuk
- A Microsoft Teams új AI-eszközöket kap – és ezek ingyenesek
- Kínai hackerek kritikus amerikai infrastruktúrát céloznak meg – figyelmeztet a Microsoft
Minden azon múlik, hogy a Teams hogyan tárolja a felhasználói hitelesítési tokeneket – tiszta szövegben, minden további védelem nélkül. Ez katasztrofális lenne, ha nem egy kulcstényezőn alapulna: a támadónak helyi hozzáféréssel kell rendelkeznie ahhoz a rendszerhez, amelyen a Microsoft Teams telepítve van.
Ajánlott videók
Feltéve, hogy a támadó helyi hozzáféréssel rendelkezik a hálózathoz, ellophatja a hitelesítési tokeneket, és bejelentkezhet az áldozat fiókjába.
Connor Peoples, a Vectra kutatója azt mondta, hogy a fenyegetés mélyebb annál, mint hogy egyetlen fiókot is feltörjenek; lehetővé teszi a támadó számára olyan fiókok eltérítését, amelyek potenciálisan megzavarhatják az egész szervezet működését.
„A kritikus helyek – például egy vállalat mérnöki vezetője, vezérigazgatója vagy pénzügyi igazgatója – [átvételével] a támadók meggyőzhetik a felhasználókat a szervezet számára káros feladatok elvégzéséről” – mondta Peoples a jelentés.
Hogyan működik ez az egész? Csipogó számítógép részletesebben elmagyarázta, de a rövid történet az, hogy a Microsoft Teams egy Electron alkalmazás, és tartalmazza az összes szokásos weboldalhoz szükséges összes elemet, például cookie-kat és munkamenet-karakterláncokat. Az Electron nem támogatja a fájltitkosítást vagy a védett helyek létrehozását, ezért a felhasználói hitelesítő adatok nincsenek úgy védve, ahogy kellene.
Kutatása során a Vectra talált egy fájlt, amely tiszta szövegben hozzáfér a felhasználói tokenekhez. „A felülvizsgálat során megállapították, hogy ezek a hozzáférési tokenek aktívak voltak, és nem egy korábbi hiba véletlen kiíratása. Ezek a hozzáférési tokenek hozzáférést biztosítottak számunkra az Outlook és a Skype API-khoz” – áll a vállalat jelentésében.
A további kutatások során még több adatot találtak, beleértve az érvényes hitelesítési tokeneket és a fiókadatokat. A Vectra is talált egy módot az alkalmazás kihasználására, és a saját chat ablakában tudta fogadni a tokeneket.
Aggasztó, hogy ez a sérülékenység jelenleg elérhető, de a Microsoft nem tartja elég nagy fenyegetésnek ahhoz, hogy prioritásként dolgozzon a javításon. A Microsoft szóvivője a következőt mondta a Bleeping Computernek: „A leírt technika nem felel meg az azonnali szervizre vonatkozó elvárásunknak, mivel a támadónak először hozzá kell férnie egy célhálózathoz. Nagyra értékeljük a Vectra Protect partnerségét a probléma azonosítása és felelősségteljes nyilvánosságra hozatala terén, és fontolóra vesszük a probléma megoldását egy jövőbeli termékkiadás során.”
Addig is, ha aggódik Teams-fiókja biztonsága miatt, jó ötlet a Teams böngészőverziójára váltani az asztali kliens helyett. A Linux-felhasználóknak azonban azt tanácsolják, hogy egyszerűen váltsanak másik alkalmazásra – különösen azért, mert a Microsoft azt tervezi, hogy ez év végéig leállítja a Teams Linux-verziójának támogatását.
Szerkesztői ajánlások
- Hogyan kémkedhet utánad a főnököd a Slack, a Zoom és a Teams segítségével
- Hogyan lehet törölni egy oldalt a Wordben
- Ez a kritikus kizsákmányolás lehetővé teheti a hackerek számára, hogy megkerüljék a Mac védelmét
- Mostantól kipróbálhatja az avatarokat és a virtuális tereket a Microsoft Teamsben
- Microsoft Build 2023: a legnagyobb bejelentések az AI, a Windows és egyebek terén
Frissítse életmódjátA Digital Trends segítségével az olvasók nyomon követhetik a technológia rohanó világát a legfrissebb hírekkel, szórakoztató termékismertetőkkel, éleslátó szerkesztőségekkel és egyedülálló betekintésekkel.
