חוקרי אבטחה: Teams של מיקרוסופט לא בטוחה לשימוש

חברת מחקרי אבטחת הסייבר וקטרה (Vectra) מקליפורניה חשפה פגם שעלול להיות חמור בגירסת שולחן העבודה של תוכנת השיתוף Teams של מיקרוסופט, שבה אסימוני האימות מאוחסנים בטקסט רגיל, מה שהופך אותם לפגיעים להתקפת צד שלישי.

הבעיה משפיעה על אפליקציית Teams, המבוססת על מסגרת Electron של החברה, הפועלת על מכשירי Windows, macOS ו-Linux. תיאורטית, אמרה וקטרה, אישורים אלה עלולים להיגנב על ידי תוקף שיש לו גישה מקומית או מרוחקת למערכת. מיקרוסופט מודעת לפגיעות זו, למרות שנראה כי היא לא ממהרת לתקן אותה.

וקטרה מציינת, כי האקר עם הגישה הנדרשת יכול לגנוב נתונים ממשתמש Teams מקוון ועלול לחקות אותם כשהם במצב לא מקוון. לאחר מכן ניתן יהיה להשתמש בזהות זו באפליקציות כמו Outlook או Skype על ידי עקיפת דרישות האימות הרב-גורמי. וקטרה ממליצה למשתמשים להתרחק מגירסת שולחן העבודה של Teams עד שיהיה תיקון זמין, או, לחלופין, להשתמש בגירסת האינטרנט של התוכנה, אשר כוללת אמצעי הגנה נוספים.

"אף יותר מזיק, תוקפים יכולים להתעסק בתקשורת לגיטימית בתוך ארגון על ידי השמדה, הסתננות או מעורבות סלקטיבית בהתקפות דיוג ממוקדות", אמר קונור פיפלס, אדריכל אבטחה ב-וקטרה. הוא מציין, שהפגיעות הספציפית הזאת קיימת רק בגירסת שולחן העבודה של Teams עקב היעדר "בקרות אבטחה נוספות להגנה על נתונים של קובצי עוגיות".

כדי להבהיר למיקרוסופט את חומרת הפגיעות, וקטרה אפילו פיתחה הוכחת קונספט, המאפשרת לחוקרים לשלוח הודעה לחשבון של אדם שאסימון הגישה שלו נוצל.ב

תגובתה, הפושרת יש לומר, לידיעה, מיקרוסופט ציינה כי פרצת אבטחה זו "אינה עומדת ברף שלנו למתן שירות מיידי מכיוון שהיא דורשת מהתוקף לקבל תחילה גישה לרשת יעד מסוימת". עם זאת, החברה לא שללה את האפשרות של תיקון שיושק בעתיד.