Wormable exploit nájdený v Microsoft Teams
1 min. čítať
Publikované dňa
Zdieľajte tento článok
Vylepšite túto príručku
Prečítajte si našu informačnú stránku a zistite, ako môžete pomôcť MSPoweruser udržať redakčný tím Čítaj viac
Bezpečnostný výskumník Oskars Vegeris prezradil napadnuteľný červ pre Microsoft Teams, ktorý by zneužil chatového klienta iba zobrazením správy bez akejkoľvek interakcie používateľa.
Výsledkom je „úplná strata dôvernosti a integrity pre koncových používateľov – prístup k súkromným chatom, súborom, internej sieti, súkromným kľúčom a osobným údajom mimo MS Teams,“ povedal Vegeris.
Využitím ďalšej chyby skriptovania medzi lokalitami (XSS) prítomnej vo funkcii „@mentions“ Teams a užitočného zaťaženia RCE založeného na JavaScripte možno kód rozšíriť aj na iných používateľov aplikácie Teams, čím sa dosiahne samošírenie.
Využívanie je tiež multiplatformové a ovplyvňuje Windows, Mac, Linux a dokonca aj webovú aplikáciu.
Našťastie pre používateľov Teams, Vegeris objavil chybu v auguste a Microsoft vydal opravu krátko potom na konci októbra 2020.
Vegeris tiež predtým odhalil kritickú „červovú“ chybu v počítačovej verzii Slacku, ktorá mohla umožniť útočníkovi prevziať kontrolu nad systémom jednoduchým odoslaním škodlivého súboru inému používateľovi Slacku.
via Thehackernews
