Ошибка Microsoft Teams, позволяющая не исправлять фишинг с марта

1
Хакеры проникают в чаты Microsoft Teams для распространения вредоносного ПО

Microsoft заявила, что не будет исправлять или откладывает исправления для нескольких недостатков безопасности, влияющих на функцию предварительного просмотра ссылок Microsoft Teams, о которой сообщалось с марта 2021 года.

Соучредитель немецкой консалтинговой компании по ИТ-безопасности Фабиан Бройнлейн обнаружил четыре уязвимости, ведущие к подделке серверных запросов (SSRF), подделке предварительного просмотра URL, утечке IP-адреса (Android) и отказу в обслуживании (DoS), получившему название «Сообщение смерти» (Android).

Бройнлайн сообщил о четырех недостатках в Microsoft Security Response Center (MSRC), который расследует отчеты об уязвимостях, касающихся продуктов и услуг Microsoft.

«Уязвимости позволяют получить доступ к внутренним службам Microsoft, подделать предварительный просмотр ссылки, а для пользователей Android — утечку их IP-адресов и DoS-атаки их приложений / каналов Teams», — сказал исследователь.

Из четырех уязвимостей Microsoft устранила только ту, которую злоумышленники могли использовать для получения доступа к IP-адресам целей, если они используют устройства Android.

Что касается других ошибок, Microsoft заявила, что не будет исправлять SSRF в текущей версии, а исправление DoS будет рассмотрено в будущем выпуске.

Ошибка, из-за которой пользователи подвергались фишингу, оставалась не исправленной

Ошибка подмены предварительного просмотра URL, которую злоумышленники могли использовать для фишинговых атак или маскировки вредоносных ссылок, была помечена как не представляющая опасности для пользователей Teams.

«MSRC исследовала эту проблему и пришла к выводу, что это не представляет непосредственной угрозы, требующей срочного внимания, потому что как только пользователь нажимает на URL-адрес, он должен будет перейти на этот вредоносный URL-адрес, который будет свидетельствовать о том, что это не тот, который пользователь ожидал «, — сказал Microsoft.

«Хотя обнаруженные уязвимости имеют ограниченное влияние, удивительно как то, что такие простые векторы атак, казалось бы, не тестировались ранее, так и то, что у Microsoft нет желания или ресурсов для защиты своих пользователей от них», — добавили исследователи.

Решение компании не устранять ошибку спуфинга, которой можно было злоупотреблять в фишинговых кампаниях, частично объясняется тем, что с июля Teams также использует Защитник для защиты безопасных ссылок Office 365 для защиты пользователей от фишинговых атак на основе URL-адресов.

Хотя защита безопасных ссылок доступна для всех пользователей Teams и работает для ссылок, используемых в беседах, групповых чатах и ​​каналах Teams, ее по-прежнему необходимо включить, настроив политику безопасных ссылок на портале Microsoft 365 Defender.

Последнее обновление 8 месяцев назад — GameZoom

0 0 голоса
Рейтинг статьи
Подписаться
Уведомить о
guest
0 комментариев
Межтекстовые Отзывы
Посмотреть все комментарии