Lỗ hổng bảo mật trong Microsoft Teams vẫn chưa được khắc phục

www.tuoitre.vn -   23/12/2021 08:00:00 343

Microsoft cho biết họ sẽ không sửa chữa hoặc sẽ đẩy các bản vá vào một ngày sau đó cho ba trong số bốn lỗi bảo mật được phát hiện trong nền tảng giao tiếp kinh doanh Teams của họ vào đầu tháng 3 này.

Lỗ hổng bảo mật trong Microsoft Teams vẫn chưa được khắc phục

Tiết lộ đến từ công ty an ninh mạng Positive Security có trụ sở tại Berlin, nhận thấy rằng việc triển khai tính năng xem trước liên kết dễ gặp phải một số vấn đề có thể "cho phép truy cập các dịch vụ nội bộ của Microsoft, giả mạo bản xem trước liên kết và đối với người dùng Android, rò rỉ. địa chỉ IP của họ và ứng dụng / kênh DoS'ing Nhóm của họ. "

Trong số bốn lỗ hổng, Microsoft được cho là chỉ giải quyết một lỗ hổng dẫn đến rò rỉ địa chỉ IP từ các thiết bị Android, và gã khổng lồ công nghệ lưu ý rằng bản sửa lỗi cho lỗ hổng từ chối dịch vụ (DoS) sẽ được xem xét trong phiên bản tương lai của sản phẩm. Các vấn đề đã được tiết lộ một cách có trách nhiệm với công ty vào ngày 10 tháng 3 năm 2021.

Đứng đầu trong số các lỗ hổng là lỗ hổng bảo mật giả mạo yêu cầu phía máy chủ (SSRF) trong điểm cuối "/ urlp / v1 / url / info" có thể bị khai thác để thu thập thông tin từ mạng cục bộ của Microsoft. Cũng được phát hiện là một lỗi giả mạo trong đó mục tiêu liên kết xem trước có thể được thay đổi để trỏ đến bất kỳ URL độc hại nào trong khi vẫn giữ nguyên liên kết chính, hình ảnh xem trước và mô tả, cho phép kẻ tấn công ẩn các liên kết độc hại và cải thiện giai đoạn tấn công lừa đảo.

Lỗ hổng DoS, ảnh hưởng đến phiên bản Android của Teams, có thể khiến ứng dụng gặp sự cố chỉ bằng cách gửi tin nhắn có bản xem trước liên kết được chế tạo đặc biệt có chứa mục tiêu không hợp lệ thay vì URL hợp pháp. Vấn đề cuối cùng liên quan đến rò rỉ địa chỉ IP, điều này cũng ảnh hưởng đến ứng dụng Android. Bằng cách chặn các tin nhắn bao gồm bản xem trước liên kết để trỏ URL hình thu nhỏ đến miền không phải của Microsoft, Positive Security cho biết có thể có quyền truy cập vào địa chỉ IP của người dùng và dữ liệu tác nhân người dùng.

"Mặc dù các lỗ hổng được phát hiện có tác động hạn chế, nhưng thật đáng ngạc nhiên là các vectơ tấn công đơn giản như vậy dường như chưa được kiểm tra trước đây và Microsoft không có sẵn sàng hoặc nguồn lực để bảo vệ người dùng của họ khỏi chúng", đồng sáng lập của Positive Security, Fabian. Bräunlein nói.

Hương – Theo TheHackerNews

TIN CÙNG CHUYÊN MỤC

Hacker vô hiệu hóa cơ chế đóng mở của mộ...

17/01/2022 12:00:00 1
Tin tặc đã xâm nhập vào hệ thống máy tính của nhà tù khiến toàn bộ hệ thống nơi đây bị ngắt kết nối,...

Apple phát hành bản vá iPhone và iPad mớ...

13/01/2022 08:00:00 51
Apple đã tung ra các bản cập nhật phần mềm cho iOS và iPadOS để khắc phục sự cố từ chối dịch vụ (DoS...

Dự đoán 2022: Lừa đảo tinh vi, rò rỉ dữ ...

12/01/2022 04:00:00 125
Sau 2 năm đại dịch, cũng như các khu vực khác trên thế giới, Đông Nam Á đang chuẩn bị sẵn sàng cho m...

Một backdoor nguy hiểm giúp tin tặc hack...

12/01/2022 12:00:00 1
Nếu bạn phát hiện ra hệ thống của mình đã bị xâm nhập bởi SysJoker, hãy làm theo 3 bước sau:

Hàng triệu Router WiFi bị ảnh hưởng bởi ...

11/01/2022 08:00:00 52
Một lỗi KCodes NetUSB mới ảnh hưởng hàng triệu Routers từ nhiều hãng khác nhau. Hãy kiểm tra trong b...

Microsoft chỉ ra về lỗi macOS cho phép h...

10/01/2022 08:00:00 48
Microsoft đã tiết lộ chi tiết về một lỗ hổng bảo mật mới được vá gần đây trong hệ điều hành macOS củ...
Xem thêm

TAGS

LIÊN HỆ

Thông tin liên hệ