פגיעות Microsoft Teams מה שמשפיע על כל משתמשי השירות המשתמשים באפליקציה Windows, Mac או Linux.
Microsoft Teams היא פלטפורמת חבילה משולבת Microsoft 365. השירות נמצא בשימוש גלובלי על ידי כמעט 300 מיליון משתמשים עבור שיחות ועידה בווידאו, שיחות קוליות, הודעות טקסט ושיתוף מאוחסנים/קבצים. זה אמור לשמש במיוחד עבור עסקים ומשרדים Microsoft Teams עבור Windows, Linux si Mac צריך להיות לו תקן אבטחה רלוונטי לזמנים הנוכחיים. עם זאת, נראה שלמיקרוסופט אין חשיבות להצפנה.
באוגוסט (2022), צוות מנתחי אבטחה גילה א פגיעות Microsoft Teams שככל הנראה מיקרוסופט לא הסתבכה לפתור עד לרגע זה.
פגיעות Microsoft Teams – אסימון האימות הלא מוצפן
בעיית האבטחה שהתגלתה מורכבת מאחסון לא מוצפן של אסימוני אימות באפליקציה Microsoft Teams עבור Windows, Mac si Linux. יותר בדיוק user authentication tokens נשמרים בפנים cleartext.
זה אומר שאם לתוקף יש גישה למחשב עליו הוא מותקן Microsoft Teams, הוא יוכל לקחת את אישורי האימות מהאפליקציה ולהתחבר לחשבון של הקורבן. בנוסף, התוקף מאבטח גישה ל Microsoft Graph API גם אם החשבון מוגן עם MFA (Multi-factor authentication). לא נדרשות תוכנות זדוניות מתקדמות או הרשאות מיוחדות כדי לגשת לקבצים המכילים אסימוני אימות.
הפגיעות הזו (אם אני יכול לקרוא לזה כך) יכולה להשפיע על חברות רבות ברחבי העולם. עַל Microsoft Teams יש שיחות עסקיות, פגישות בתוך ארגונים, מפגשי עבודת צוות, ראיונות עבודה ונשלחים נתונים חסויים.
החלק המדאיג ביותר הוא שהבעיה הזו דווחה על ידי קונור פיפלס (אנליסט אבטחת סייבר) מאז אוגוסט 2022, ועד עכשיו (מחצית מספטמבר 2022) מיקרוסופט לא נקטה בשום פעולה.
עד שמיקרוסופט תפתור את הפגיעות הזו Microsoft Teams, משתמשים יכולים להגן על עצמם באמצעות גרסת האינטרנט של האפליקציה.
בשנת 2022, שמירה על נתונים רגישים בטקסט ברור, אפילו יותר אסימוני אימות, נראה לי שמיקרוסופט משתמשת בטכניקות של שנות ה-90 כאשר Yahoo! Messenger הדבק שיחות מקומיות בפורמט טקסט. מיקרוסופט מגיעה עם משהו נוסף. שמור את נתוני האימות.
