Acabamos de falar sobre o Teams outro dia, relatando que talvez você não consiga criar novas contas de organização gratuitas, e o aplicativo de conferência principal da Microsoft está de volta aos holofotes.
E embora nos sintamos melhor quando precisamos comunicar as correções e melhorias ou novos recursos que chegam ao Teams, também precisamos comunicar esse risco de segurança a você.
Os pesquisadores de segurança parecem ter descoberto quatro vulnerabilidades separadas no Teams que podem ser exploradas para falsificar visualizações de link, endereços IP vazados e até mesmo acessar serviços internos da Microsoft.
Quatro vulnerabilidades principais ainda são exploradas na natureza
De acordo com uma postagem do blog, os especialistas em Segurança Positiva descobriram essas vulnerabilidades enquanto procuravam uma maneira de contornar a Política de Mesma Origem (SOP) em Equipes e Electron.
Caso você não esteja familiarizado com o termo, o SOP é um mecanismo de segurança encontrado em navegadores que ajuda a evitar que sites ataquem uns aos outros.
Investigando essa questão delicada, os pesquisadores descobriram que poderiam ignorar os SOPs nas equipes abusando do recurso de visualização de link no aplicativo.
Na verdade, isso foi conseguido permitindo que o cliente criasse uma visualização do link para a página de destino e, em seguida, usasse o texto de resumo ou o reconhecimento óptico de caracteres (OCR) na imagem de visualização para extrair as informações.
Além disso, enquanto co-fundador da Positive Security, Fabian Braunline descobriu outras vulnerabilidades não relacionadas na implementação desta função.
Fonte: Segurança Positiva
Dois dos quatro bugs desagradáveis encontrados no Microsoft Teams podem ser usados em qualquer dispositivo e permitem a falsificação de solicitação do lado do servidor (SSRF) e falsificação.
Os outros dois afetam apenas smartphones Android e podem ser usados para vazar endereços IP e obter Denial of Service (DOS).
Nem é preciso dizer que, ao explorar a vulnerabilidade do SSRF, os pesquisadores conseguiram obter informações da rede local da Microsoft.
Ao mesmo tempo, um erro de spoofing pode ser usado para melhorar a eficácia dos ataques de phishing ou para ocultar links maliciosos.
O erro mais preocupante do DOS é que um invasor pode enviar uma mensagem de visualização do link ao usuário com um link de destino de visualização inválido para travar o aplicativo Teams para Android.
Infelizmente, o aplicativo continuará travando ao tentar abrir um chat ou canal com uma mensagem maliciosa.
Na verdade, a Positive Security anunciou suas descobertas para a Microsoft em 10 de março como parte de seu programa de recompensa por bug. Desde então, a gigante da tecnologia corrigiu apenas uma vulnerabilidade de vazamento de IP no Teams para Android.
Mas agora que essas informações confusas se tornaram publicamente disponíveis e as implicações dessas vulnerabilidades são bastante claras, a Microsoft terá que acelerar seu jogo e oferecer algumas soluções rápidas e eficazes.
Você já teve algum problema de segurança com o Teams? Compartilhe sua experiência conosco na seção de comentários abaixo.
Deixe um comentário