Eksploatacija koja se može crvljivati pronađena u Microsoftovim timovima
1 min. čitati
Objavljeno na
Podijelite ovaj članak
Poboljšajte ovaj vodič
Pročitajte našu stranicu za otkrivanje kako biste saznali kako možete pomoći MSPoweruseru da održi urednički tim Čitaj više
Istraživač sigurnosti Oskars Vegeris je otkrio exploit za Microsoft Teams koji se može crvljivati, koji bi iskorištavao klijenta za chat samo gledanjem poruke, bez ikakve korisničke interakcije.
Rezultat je "potpuni gubitak povjerljivosti i integriteta za krajnje korisnike - pristup privatnim razgovorima, datotekama, internoj mreži, privatnim ključevima i osobnim podacima izvan MS Teams", rekao je Vegeris.
Iskorištavanjem još jednog propusta skriptiranja na više web-mjesta (XSS) koji je prisutan u funkciji Teams '@mentions' i RCE-u koji se temelji na JavaScriptu, kod se također može proširiti na druge korisnike aplikacije Teams, čineći eksploataciju koja se sama širi.
Eksploatacija je također višeplatformska, utječe na Windows, Mac, Linux, pa čak i na web aplikaciju.
Na sreću za korisnike Teamsa, Vegeris je otkrio nedostatak u kolovozu, a Microsoft je izdao zakrpu nedugo zatim krajem listopada 2020.
Vegeris je također ranije otkrio kritičnu grešku koja se može crviti u Slackovoj desktop verziji koja je mogla omogućiti napadaču da preuzme sustav jednostavnim slanjem zlonamjerne datoteke drugom Slack korisniku.
preko Thehackernews
