تقوم Microsoft بإصلاح خطأ قد يسمح لـ GIF باختراق حساب Teams الخاص بمؤسستك

أخبارتكنوnewsToch
لا تؤثر هذه الثغرة الأمنية على Microsoft Teams على سطح المكتب فحسب ، بل على الويب أيضًا.

قامت Microsoft بإصلاح هذا الخطأ. (AP)

اكتسبت تطبيقات مؤتمرات الفيديو شعبية في الوقت الذي تم فيه فرض حظر في مختلف البلدان في جميع أنحاء العالم في ضوء اندلاع Covid-19. يستغل المتسللون هذه الفرصة لمهاجمة المستخدمين من أجل الوصول إلى بيانات اعتماد حساباتهم ومعلوماتهم المالية. الآن ، يسلط تقرير الضوء على اختراق جديد يستخدمه الفاعلون الضارون لاستهداف المنظمات الكبيرة.

وفقًا لتقرير صادر عن CyberArk ( عبر ZDNet) ، فإن المتسللين يستخدمون ثغرة استيلاء على نطاق فرعي بالاشتراك مع ملف GIF مصاب بالعدوى لاستخلاص بيانات المستخدم واستلام حساب Microsoft Teams بأكمله لمؤسسة ما.

وفقًا لأبحاثهم ، ينشئ Teams رمز وصول مؤقتًا ، والذي يتم مصادقته عبر login.microsoftonline.com ، في كل مرة يفتح فيها المستخدم التطبيق. يستخدم التطبيق أيضًا ملفات تعريف الارتباط "authtoken" و "skypetoken_asm" لتقييد أذونات الوصول إلى المحتوى. ومن بين هذه الرسائل ، يتم إرسال رمز Skype المميز إلى teams.microsoft.com ومجالاتها الفرعية ، حيث وجد الباحثون أن اثنتين منها معرضة للضعف.

يقول التقرير: "إذا تمكن أحد المهاجمين بطريقة ما من إجبار المستخدم على زيارة النطاقات الفرعية التي تم الاستيلاء عليها ، فسيرسل متصفح الضحية ملف تعريف الارتباط هذا إلى خادم المهاجم ، ويمكن للمهاجم (بعد استلام كلمة المرور التلقائية) إنشاء رمز Skype مميز". مضيفا ، "بعد القيام بكل هذا ، يمكن للمهاجم سرقة بيانات حساب Teams للضحية."

يستخدم المهاجم بعد ذلك ملف GIF أو رابطًا ضارًا لإنشاء رمز مميز لا يصادق على المهاجم فحسب ، بل يعرض أيضًا حساب Teams للضحية للخطر. هذا يعطي المهاجم القدرة على اختراق حساب الفريق لمنظمة الضحية.

علاوة على ذلك ، لا تؤثر هذه الثغرة الأمنية على Microsoft Teams على سطح المكتب فحسب ، بل على الويب أيضًا.

الآن بعض الأخبار الجيدة ، قامت Microsoft بإصلاح الخطأ وجميع حسابات Teams آمنة. "لقد عالجنا المشكلة التي نوقشت في هذه المدونة وعملنا مع الباحث في إطار الإفشاء المنسق للضعف. على الرغم من أننا لم نر أي استخدام لهذه التقنية في البرية ، فقد اتخذنا خطوات للحفاظ على سلامة عملائنا "، قالت الشركة في بيان للمنشور.