Według analityków z firmy Vectra zajmującej się cyberbezpieczeństwem w Microsoft Teams istnieje ogromna luka w zabezpieczeniach, a jeśli hakerzy dostaną ją w swoje ręce, może to potencjalnie wpłynąć na niezliczoną liczbę użytkowników.
Program ma lukę, która umożliwia atakującym kradzież danych logowania użytkowników i logowanie się na ich konta. Niestety, Microsoft nie planuje teraz łatania tego, więc czytaj dalej, aby upewnić się, że jesteś bezpieczny przed tym nieoczekiwanym Problem z Microsoft Teams.
Ta wada, odkryta po raz pierwszy w sierpniu 2022 r., jest dość poważna, ale nie jest też zbyt łatwa do wykonania. Dotyczy wersji stacjonarnych programu Zespoły Microsoftu oprogramowania (a nie wersji przeglądarki) i wpływa na użytkowników systemów Windows, Linux i Mac.
Powiązany
- Najczęstsze problemy z Microsoft Teams i sposoby ich rozwiązywania
- Microsoft Teams otrzymuje nowe narzędzia AI — i są one bezpłatne
- Microsoft ostrzega, że chińscy hakerzy atakują krytyczną infrastrukturę USA
Wszystko sprowadza się do sposobu, w jaki Teams przechowuje tokeny uwierzytelniania użytkowników — czystym tekstem, bez żadnej dodatkowej ochrony. Byłoby to katastrofalne w skutkach, gdyby nie opierało się na jednym kluczowym czynniku: osoba atakująca musi mieć lokalny dostęp do systemu, w którym zainstalowany jest Microsoft Teams.
Polecane filmy
Zakładając, że atakujący ma lokalny dostęp do sieci, może ukraść tokeny uwierzytelniające i zalogować się na konto ofiary.
Connor Peoples, badacz z firmy Vectra, powiedział, że zagrożenie leży głębiej niż tylko jedno konto; umożliwia atakującemu przejęcie kont, co może potencjalnie zakłócić działanie całej organizacji.
„[Przejmując] kontrolę nad krytycznymi stanowiskami – takimi jak dyrektor ds. inżynierii, dyrektor generalny lub dyrektor finansowy – napastnicy mogą przekonać użytkowników do wykonania zadań szkodliwych dla organizacji” – stwierdził Peoples w raport.
Jak to wszystko działa? Piszczący komputer wyjaśniłem to bardziej szczegółowo, ale krótka historia jest taka, że Microsoft Teams to aplikacja Electron zawierająca wszystkie elementy wymagane na zwykłej stronie internetowej, takie jak pliki cookie i ciągi sesji. Electron nie obsługuje szyfrowania plików ani ustanawiania chronionych lokalizacji, dlatego dane uwierzytelniające użytkownika nie są chronione tak, jak powinny.
Podczas swoich badań Vectra znalazła plik z dostępem do tokenów użytkownika w postaci zwykłego tekstu. „Po sprawdzeniu ustalono, że te tokeny dostępu były aktywne i nie były przypadkowym zrzutem poprzedniego błędu. Te tokeny dostępu zapewniły nam dostęp do interfejsów API programów Outlook i Skype” – czytamy w raporcie firmy.
W wyniku dalszych badań znaleziono jeszcze więcej danych, w tym ważne tokeny uwierzytelniające i informacje o koncie. Vectra również znalazła sposób na wykorzystanie aplikacji i mogła odbierać tokeny we własnym oknie czatu.
Niepokojące jest to, że ta luka jest obecnie dostępna, ale Microsoft nie uważa jej za na tyle duże zagrożenie, aby priorytetowo pracować nad jej załataniem. Rzecznik Microsoftu powiedział Bleeping Computer: „Opisana technika nie spełnia naszych wymagań w zakresie natychmiastowej obsługi, ponieważ wymaga od osoby atakującej uzyskania dostępu do docelowej sieci. Doceniamy współpracę firmy Vectra Protect w identyfikowaniu i odpowiedzialnym ujawnianiu tego problemu, dlatego rozważymy rozwiązanie go w przyszłej wersji produktu”.
W międzyczasie, jeśli martwisz się o bezpieczeństwo swojego konta Teams, dobrym pomysłem jest przejście na wersję Teams w przeglądarce zamiast na klienta stacjonarnego. Użytkownikom Linuksa zaleca się jednak po prostu przejście na inną aplikację — zwłaszcza że Microsoft planuje zaprzestać wspierania wersji Teams dla systemu Linux do końca tego roku.
Zalecenia redaktorów
- Jak Twój szef może Cię szpiegować za pomocą aplikacji Slack, Zoom i Teams
- Jak usunąć stronę w programie Word
- Ten krytyczny exploit może pozwolić hakerom ominąć zabezpieczenia komputera Mac
- Możesz teraz wypróbować awatary i przestrzenie wirtualne w Microsoft Teams
- Microsoft Build 2023: największe ogłoszenia dotyczące sztucznej inteligencji, systemu Windows i nie tylko
Ulepsz swój styl życiaDigital Trends pomaga czytelnikom śledzić szybko rozwijający się świat technologii dzięki najnowszym wiadomościom, zabawnym recenzjom produktów, wnikliwym artykułom redakcyjnym i jedynym w swoim rodzaju zajawkom.
