Exploit Wormable encontrado en Microsoft Teams
1 minuto. leer
Publicado el
Compartir este artículo
Mejorar esta guía
Lea nuestra página de divulgación para descubrir cómo puede ayudar a MSPoweruser a sostener el equipo editorial. Leer más
Investigador de seguridad Oskars Vegeris ha revelado un exploit de gusanos para Microsoft Teams, que explotaría el cliente de chat al solo ver un mensaje, sin ninguna interacción del usuario.
El resultado es una “pérdida total de confidencialidad e integridad para los usuarios finales: acceso a chats privados, archivos, red interna, claves privadas y datos personales fuera de MS Teams”, dijo Vegeris.
Al explotar otra falla de secuencias de comandos entre sitios (XSS) presente en la funcionalidad '@mentions' de Teams y una carga útil RCE basada en JavaScript, el código también se puede propagar a otros usuarios de la aplicación Teams, lo que lo convierte en un exploit autopropagante.
El exploit también es multiplataforma y afecta a Windows, Mac, Linux e incluso a la aplicación web.
Afortunadamente para los usuarios de Teams, Vegeris descubrió la falla en agosto y Microsoft lanzó un parche poco después, a fines de octubre de 2020.
Vegeris también había revelado anteriormente una falla crítica "gusana" en la versión de escritorio de Slack que podría haber permitido que un atacante se apoderara del sistema simplemente enviando un archivo malicioso a otro usuario de Slack.
