Lỗ hổng bảo mật trong Microsoft Teams vẫn chưa được khắc phục

www.tuoitre.vn -   23/12/2021 08:00:00 838

Microsoft cho biết họ sẽ không sửa chữa hoặc sẽ đẩy các bản vá vào một ngày sau đó cho ba trong số bốn lỗi bảo mật được phát hiện trong nền tảng giao tiếp kinh doanh Teams của họ vào đầu tháng 3 này.

Lỗ hổng bảo mật trong Microsoft Teams vẫn chưa được khắc phục

Tiết lộ đến từ công ty an ninh mạng Positive Security có trụ sở tại Berlin, nhận thấy rằng việc triển khai tính năng xem trước liên kết dễ gặp phải một số vấn đề có thể "cho phép truy cập các dịch vụ nội bộ của Microsoft, giả mạo bản xem trước liên kết và đối với người dùng Android, rò rỉ. địa chỉ IP của họ và ứng dụng / kênh DoS'ing Nhóm của họ. "

Trong số bốn lỗ hổng, Microsoft được cho là chỉ giải quyết một lỗ hổng dẫn đến rò rỉ địa chỉ IP từ các thiết bị Android, và gã khổng lồ công nghệ lưu ý rằng bản sửa lỗi cho lỗ hổng từ chối dịch vụ (DoS) sẽ được xem xét trong phiên bản tương lai của sản phẩm. Các vấn đề đã được tiết lộ một cách có trách nhiệm với công ty vào ngày 10 tháng 3 năm 2021.

Đứng đầu trong số các lỗ hổng là lỗ hổng bảo mật giả mạo yêu cầu phía máy chủ (SSRF) trong điểm cuối "/ urlp / v1 / url / info" có thể bị khai thác để thu thập thông tin từ mạng cục bộ của Microsoft. Cũng được phát hiện là một lỗi giả mạo trong đó mục tiêu liên kết xem trước có thể được thay đổi để trỏ đến bất kỳ URL độc hại nào trong khi vẫn giữ nguyên liên kết chính, hình ảnh xem trước và mô tả, cho phép kẻ tấn công ẩn các liên kết độc hại và cải thiện giai đoạn tấn công lừa đảo.

Lỗ hổng DoS, ảnh hưởng đến phiên bản Android của Teams, có thể khiến ứng dụng gặp sự cố chỉ bằng cách gửi tin nhắn có bản xem trước liên kết được chế tạo đặc biệt có chứa mục tiêu không hợp lệ thay vì URL hợp pháp. Vấn đề cuối cùng liên quan đến rò rỉ địa chỉ IP, điều này cũng ảnh hưởng đến ứng dụng Android. Bằng cách chặn các tin nhắn bao gồm bản xem trước liên kết để trỏ URL hình thu nhỏ đến miền không phải của Microsoft, Positive Security cho biết có thể có quyền truy cập vào địa chỉ IP của người dùng và dữ liệu tác nhân người dùng.

"Mặc dù các lỗ hổng được phát hiện có tác động hạn chế, nhưng thật đáng ngạc nhiên là các vectơ tấn công đơn giản như vậy dường như chưa được kiểm tra trước đây và Microsoft không có sẵn sàng hoặc nguồn lực để bảo vệ người dùng của họ khỏi chúng", đồng sáng lập của Positive Security, Fabian. Bräunlein nói.

Hương – Theo TheHackerNews

TIN CÙNG CHUYÊN MỤC

Nửa đầu 2022: Việt Nam ghi nhận tấn công...

08/11/2022 08:00:00 281
Mặc dù phần mềm độc hại thường nhắm vào dữ liệu cá nhân nhưng các tổ chức, doanh nghiệp với chính sá...

Kaspersky đồng hành Dynamic UEH Innovati...

07/11/2022 08:00:00 272
Với mục tiêu đồng hành và lan toả tinh thần khởi nghiệp đến thế hệ sinh viên trẻ, Kaspersky đã hân h...

Lổ hổng trên Apple iOS và macOS có thể c...

31/10/2022 08:00:00 324
Một lỗ hổng bảo mật hiện đã được vá trong hệ điều hành iOS và macOS của Apple có thể đã cho phép các...

Bấm đầu số này để phản ánh cuộc gọi lừa ...

31/10/2022 12:00:00 386
Đầu số 156, được sử dụng thống nhất trên toàn quốc và triển khai với tất cả các nhà mạng cung cấp dị...

Nửa đầu 2022: Kaspersky phát hiện hơn 1,...

28/10/2022 08:00:00 686
Đại dịch đã thúc đẩy việc ứng dụng số ở Đông Nam Á và mang lại cho người dùng những thói quen mới. N...

Google và Facebook bị lừa 122 triệu đô M...

28/10/2022 12:00:00 224
Chỉ trong vòng 2 năm mà Evaldas đã nhận được 23 triệu đôla từ Google và 99 triệu đôla từ Facebook. C...
Xem thêm

TAGS

LIÊN HỆ

Thông tin liên hệ