Meslektaşınız tarafından telekonferansla gönderilen samimi görüntü, kötü niyetli bir sır saklıyor olabilir
Bir güvenlik araştırmacısı, saldırganların Microsoft Teams’deki popüler çıkartma özelliğini kötüye kullanabileceklerini keşfetti. siteler arası komut dosyası oluşturma (XSS) saldırıları.
Microsoft Teams, Zoom dahil karşılaştırılabilir telekonferans hizmetlerinin yanı sıra son birkaç yılda popülerlikte bir artış yaşadı.
bu Kovid-19 pandemi, kuruluşları mümkün olduğunca evden çalışma modellerini benimsemeye zorladı. Sonrasında, çalışanlara genellikle uzak kalma veya hibrit olma seçeneği verildi.
Bu kadar çok kullanıcıyla, herhangi bir güvenlik açığı Microsoft Teams’de yaygın bir etkiye sahip olabilir. Bu nedenle, Gais Cyber Security’nin kıdemli siber güvenlik uzmanı Numan Turle de dahil olmak üzere siber güvenlik araştırmacıları, yazılımı olası kusurlara karşı inceledi.
yapışkan konu
2021’de Turle ortaya çıkardı CVE-2021-24114. 5.7’lik bir CVSS puanı verilen hata, Teams aracılığıyla kullanıcılara gönderilen görüntülerin önizleme sürecinde keşfedildi. Skype jetonlarını sızdırmak (PDF) ve Teams iOS’ta bir hesap devralma güvenlik açığını tetikleyin.
Bir yıl sonra araştırmacı Microsoft Teams’i incelemeye karar verdi. çıkartma işlevi Yeni güvenlik sorunları için.
Ekipler aracılığıyla bir çıkartma gönderildiğinde, platform bunu bir görüntüye dönüştürür ve içeriği sonraki mesajda ‘RichText/HTML’ olarak yükler.
Turle, Burp Suite kullanarak HTML isteğini inceledi ve tipik özellikleri denedi – Microsoft’un sunduğu korumalar nedeniyle boşuna. İçerik Güvenliği Politikası (CSP).
CSP, XSS dahil olmak üzere bir dizi yaygın web saldırısını azaltmak için tasarlanmıştır.
Ancak, CSP’yi Google’ın CSP Değerlendirici aracıaraştırmacı bir CSP hatası buldu – alan güvensiz olarak işaretlendi ve bu da birden fazla alana karşı potansiyel HTML enjeksiyon saldırılarının yolunu açtı.
Farklı bir açı denemek
Microsoft Azure etki alanı değişiklikleri aracılığıyla bu güvenlik açıklarını kapatmıştı. Bu nedenle, daha derine indikten ve Teams’i tarayıcıda inceledikten sonra Turle, alternatif olarak kullanılabilecek bir JavaScript öğesini ortaya çıkardı.
Angular ile jQuery bir JavaScript HTML ve CSS etkileşimlerini yönetmek için çerçeve. Ancak bu sürüm eskiydi ve eski sürümdeki (1.5.14) güvenlik açıkları CSP’yi atlamak için kullanılabilirdi.
En son güvenlik açığı haberlerini okuyun
Araştırmacı, HTML kodlamasının yardımıyla kötü amaçlı bir iframe oluşturduktan sonra, kullanıcı etkileşimi yoluyla elde edilen XSS’yi tetiklemek için Teams’deki çıkartma işlevi aracılığıyla gönderilen kötü amaçlı bir yük oluşturabildi.
Turle, XSS sorununu 6 Ocak’ta Microsoft’a açıkladı. Güvenlik açığı Mart ayında düzeltildi ve araştırmacıya 6.000 $ verildi. böcek ödülü.
Günlük Swig Gais Cyber Security ve Microsoft’a ulaştı ve haber aldığımızda güncelleyeceğiz.
Tüm ayrıntılar bir teknik blog yazısı Turle’den.
RÖPORTAJ YAPMAK Vivaldi tarayıcı kurucusu Jon von Tetzchner gizliliği geliştirmenin merkezine koyuyor