Eksploitasi wormable ditemukan di Microsoft Teams
1 menit Baca
Ditampilkan di
Bagikan artikel ini
Sempurnakan panduan ini
Baca halaman pengungkapan kami untuk mengetahui bagaimana Anda dapat membantu MSPoweruser mempertahankan tim editorial Baca lebih lanjut
Peneliti keamanan Oscars Vegeris telah mengungkapkan eksploitasi wormable untuk Microsoft Teams, yang akan mengeksploitasi klien obrolan dengan hanya melihat pesan, tanpa interaksi pengguna apa pun.
Hasilnya adalah "kehilangan kerahasiaan dan integritas total bagi pengguna akhir - akses ke obrolan pribadi, file, jaringan internal, kunci pribadi, dan data pribadi di luar MS Teams," kata Vegeris.
Dengan mengeksploitasi kelemahan skrip lintas situs (XSS) lain yang ada di fungsionalitas Teams '@mentions' dan payload RCE berbasis JavaScript, kode tersebut juga dapat disebarkan ke pengguna lain dari aplikasi Teams, menjadikannya eksploitasi yang menyebar sendiri.
Eksploitasi juga lintas platform, memengaruhi Windows, Mac, Linux, dan bahkan aplikasi web.
Untungnya bagi pengguna Teams, Vegeris menemukan kekurangannya pada bulan Agustus, dan Microsoft merilis patch tidak lama kemudian pada akhir Oktober 2020.
Vegeris juga sebelumnya telah mengungkapkan kelemahan kritis “wormable” dalam versi desktop Slack yang memungkinkan penyerang mengambil alih sistem hanya dengan mengirimkan file berbahaya ke pengguna Slack lain.
melalui Berita peretas
