ניצול ניתן לסליחה נמצא ב-Microsoft Teams

חוקר אבטחה אוסקרס וגריס חשף ניצול שניתן לסליחה עבור Microsoft Teams, שינצל את לקוח הצ'אט רק על ידי צפייה בהודעה, ללא כל אינטראקציה של המשתמש.

התוצאה היא "אובדן מוחלט של סודיות ושלמות עבור משתמשי קצה - גישה לצ'אטים פרטיים, קבצים, רשת פנימית, מפתחות פרטיים ונתונים אישיים מחוץ ל-MS Teams", אמר Vegeris.

על ידי ניצול פגם נוסף ב-Skript חוצה אתרים (XSS) הקיים בפונקציונליות '@mentions' של Teams ומטען RCE מבוסס JavaScript, ניתן להפיץ את הקוד גם למשתמשים אחרים של אפליקציית Teams, מה שהופך את הניצול להפצה עצמית.

הניצול הוא גם חוצה פלטפורמות, ומשפיע על Windows, Mac, Linux ואפילו על אפליקציית האינטרנט.

למרבה המזל עבור משתמשי Teams, Vegeris גילתה את הפגם באוגוסט, ומיקרוסופט שחררה תיקון זמן לא רב לאחר מכן בסוף אוקטובר 2020.

Vegeris גם חשף מוקדם יותר פגם קריטי "ניתן לתולעת" בגרסת שולחן העבודה של סלאק שיכול היה לאפשר לתוקף להשתלט על המערכת פשוט על ידי שליחת קובץ זדוני למשתמש אחר של סלאק.

באמצעות חדשות ההאקר