www.svethardware.cz
>
>
>
>

Microsoft Teams šlo hacknout obrázkem např. v GIFu

Microsoft Teams šlo hacknout obrázkem např. v GIFu
, , aktualita
U aplikace Microsoft Teams se objevil další problém, který už byl naštěstí opraven. Tentokrát šlo o bezpečností záležitost. Útočníci totiž mohli získat přístup k datům uživatelů i pouhým šikovně poslaným obrázkem.
K oblíbeným
reklama
Bezpečnostní firma CyberArk objevila v podnikové aplikaci Microsoft Teams další problém. V poslední době je to už třetí věc, kterou si Microsoft asi nedá za rámeček. Prvně to byly neplatné certifikáty, pak nezvládání vysokého náporu kvůli koronavirové pandemii, nyní to byl bezpečnostní problém. Účty uživatelů šlo hacknout šikovně zaslaným GIF souborem nebo jiným obrázkem. Než se však dostaneme k problému, musíme si nejprve vysvětlit, jak zde vlastně funguje zabezpečení. Při přihlášení do aplikace je vygenerován bezpečnostní token, kterým se pak každý uživatel prokazuje jednotlivým součástem aplikace. Přístupový token je vydáván z domény login.microsoftonline.com. Mimo tento základní token ale v Teams běhá i spoustu dalších tokenů např. pro SharePoint, Outlook nebo pro přístup k serveru, kde jsou ukládány zasílané obrázky.
 
Microsoft Teams logo
 
Tam je používán "skype token" a cookie nazvané "authtoken" a "skypetoken_asm". Hlavní  funkcí je zajistit, aby k obrázkům měly přístup jen povolané osoby, se kterými byly sdíleny. Tyto tokeny jsou nastaveny tak, aby byly zasílány na teams.microsoft.com nebo jakoukoli subdoménu v rámci *.teams.microsoft.com. V CyberArku pak zjistili, že jsou schopni provést útok, tzv. převzetí subdomény, konkrétně dvou adres:
  • aadsync-test.teams.microsoft.com
  • data-dev.teams.microsoft.com
Pak už bylo potřeba vygenerovat platný certifikát pro danou subdoménu, což ale nebyl větší problém, když o to žádal vlastník subdomény Microsoftu. Tímto by potenciální útočník měl k dispozici vlastní subdoménu v rámci sítě Microsoftu a pro ni i platný certifikát. A teď už se konečně dostáváme k onomu útoku obrázkem. Bezpečnostní výzkumníci zjistili, že nyní už jen stačilo lidem zaslat do konverzace podvržený obrázek (nejčastěji si lidé posílají různé veselé GIFy, takže ty se k útoku doslova nabízejí) a bylo jen potřeba zajistit, aby atribut "src" směřoval na podvrženou subdoménu. V takovém případě Teams pro to, aby načetly zaslaný obrázek, poslaly autentikační token na podvržený server a ten tak posloužil k zisku bezpečnostního tokenu uživatele.
 
S tím se pak dají dělat další věci vedoucí např. k zisku dalších dat oběti. Ta nic nepozná a ani se nemůže proti útoku moc bránit, protože k němu dochází automaticky načtením obrázku v konverzaci. Jednou z metod prevence je nepovolovat komunikaci s neznámými zdroji vně organizace, ale jak tvrdí i objevitelé chyby, stačí např. jen to, že jeden člověk v organizaci provede pracovní rozhovor s adeptem na pracovní pozici, a už jsou otevřená vrátka k útoku na celou organizaci. Chyba byla objevena 23. března letošního roku a ještě téhož dne Microsoft opravil DNS záznamy svých serverů, čímž znemožnil převzetí výše zmíněných subdomén. 20. dubna pak vydal patch celé aplikace.
 


Ceny souvisejících / podobných produktů:


reklama
Nejnovější články
Amazon popírá brzké přijetí kryptoměny, celkově to však nevylučuje Amazon popírá brzké přijetí kryptoměny, celkově to však nevylučuje
Výrazný vzestup hodnoty kryptoměn v tomto týdnu byl způsoben i informací britského listu City A.M., dle níž se Amazon chystá začít velice během příštích měsíců přijímat různé kryptoměny. Firma tuto informaci nyní popírá. 
Dnes, aktualita, Jan Vítek
Čínské CPU Loongson slibuje výkon prvních Ryzenů Čínské CPU Loongson slibuje výkon prvních Ryzenů
Čínské procesory Loongson jsou vyvíjeny už dlouhou řadu let firmou Loongson Technology Corporation Ltd. s přispěním Čínské akademie věd. Nyní se přitom už na trh chystají Loongson 3A5000 slibující velice zajímavý výkon. 
Dnes, aktualita, Jan Vítek
Samsung uvádí Odyssey Neo G9: herní hi-end LCD s Mini LED Samsung uvádí Odyssey Neo G9: herní hi-end LCD s Mini LED
Společnost Samsung si připravila monitorovou novinku v podobě Odyssey Neo G9, která na svém značně prohnutém 49" panelu nabídne rozlišení 5120 x 1440 s vysokou obnovovací frekvencí a podsvícením pomocí Mini LED. 
Dnes, aktualita, Jan Vítek
Intel už ulovil firmu Qualcomm na svůj proces 20A Intel už ulovil firmu Qualcomm na svůj proces 20A
Intel včera v noci už odhalil své plány na vývoj moderních výrobních procesů s tím, že se o své výrobní kapacity hodlá v rámci Intel Foundry podělit i s jinými firmami. Huawei to asi nebude, ale máme tu konkrétního zájemce o proces 20A. 
Dnes, aktualita, Jan Vítek1 komentář
AMD Navi 31 se rýsuje: 15360 jader a už bez Compute Unit? AMD Navi 31 se rýsuje: 15360 jader a už bez Compute Unit?
AMD Navi 31 je očekávaný nejlepší čip generace Navi 3, která se utká zřejmě s NVIDIA Ada Lovelace a mimo hru také stále není z našeho pohledu ani Hopper. Server 3DCenter nyní nabízí přehled fám z různých zdrojů, které se nedávno objevily. 
Dnes, aktualita, Jan Vítek