Tokeny uwierzytelniania Microsoft Teams App w postaci zwykłego tekstu
2022-09-19 2022-10-04 15:56Tokeny uwierzytelniania Microsoft Teams App w postaci zwykłego tekstu

Tokeny uwierzytelniania Microsoft Teams App w postaci zwykłego tekstu
Badacze cyberbezpieczeństwa ujawnili krytyczną lukę w aplikacji komputerowej Microsoft Teams, która ujawnia tokeny uwierzytelniania. Luka może umożliwić atakującym przejęcie tożsamości właścicieli tokenów uwierzytelniania i wykonanie złośliwych działań za pośrednictwem klienta Microsoft Teams, nawet w przypadku kont obsługujących uwierzytelnianie wieloskładnikowe (MFA).
Czego dotyczy wada
Wada dotyczy aplikacji komputerowych Microsoft Teams w systemach Windows, Linux i Mac i obejmuje przechowywanie tokenów uwierzytelniania w postaci zwykłego tekstu. Podmioty zagrażające mogą uzyskać dostęp do tokenów bez podwyższonych uprawnień, co oznacza, że luka może zostać wykorzystana w ramach dowolnego innego ataku lokalnego lub zdalnego dostępu do systemu.
Badacze Vectra dokonali odkrycia w sierpniu, pomagając klientowi usunąć wyłączone konto Teams. Ponieważ użytkownicy usługi Teams nie mogą usunąć dezaktywowanych kont bez zalogowania się, badacze zaczęli szukać obejścia i ujawnili lukę w zabezpieczeniach.
Przeczytaj też – jak zabezpieczyć swoje konto PayPal
Co to jest Microsoft Teams
Microsoft Teams to wieloplatformowa aplikacja komputerowa zbudowana na platformie Electron. Podobnie jak inne aplikacje Electron, Teams działa w oknie przeglądarki i do pewnego stopnia działa jak strona internetowa i ma podobne wymagania dotyczące danych (logi, ciągi sesji, pliki cookie).
Electron domyślnie nie obsługuje szyfrowania i obsługi lokalizacji plików chronionych przez system i wymaga dodatkowej konfiguracji, aby umożliwić te funkcje bezpieczeństwa.
Pomagając klientowi, badacze znaleźli plik ldb, który zawierał tokeny uwierzytelniające w postaci zwykłego tekstu. Odkryli również folder plików cookie, w którym przechowywane były dane, takie jak tagi marketingowe, informacje o sesji, informacje o koncie i tokeny dostępu.
Wykorzystując kombinację SQLite i nadużycia wywołań API, eksperci ds. bezpieczeństwa byli w stanie stworzyć exploit, który pozwolił im pobrać tokeny uwierzytelniające w ich oknie czatu.
Microsoft został powiadomiony o problemie, ale nie zgodził się na jego wagę i odłożył wydanie poprawki, aby go rozwiązać. Badacze bezpieczeństwa zalecają unikanie korzystania z aplikacji komputerowych Microsoft Teams do czasu wydania poprawki i trzymanie się wersji przeglądarki.
Niedawno badacz cyberbezpieczeństwa odkrył potencjalnie krytyczną technikę, która może umożliwić hakerom tworzenie odwróconej powłoki za pomocą plików GIF Microsoft Teams.
Wyspecjalizowane rozwiązania programowe, takie jak Bitdefender, mogą pomóc w odpieraniu szerokiej gamy zagrożeń cybernetycznych dzięki wielu funkcjom.
Poznaj produkty polepszające bezpieczeństwo
Przeczytaj również:
Polecane produkty
ESET Parental Control - aktywacja własna PROMOCJA
99złOriginal price was: 99zł.69złCurrent price is: 69zł.ESET Mobile Security - aktywacja własna PROMOCJA
49złOriginal price was: 49zł.34złCurrent price is: 34zł.ESET Internet Security - aktywacja własna PROMOCJA
132zł – 396złESET Smart Security Premium - aktywacja własna PROMOCJA
239złOriginal price was: 239zł.167złCurrent price is: 167zł.AnyDesk Standard - dodatkowe połączenie
1785zł – 5354zł
Ostatnie komentarze
Ostatnie publikacje
Tagi