Mercado fechará em 6 h 12 min
  • BOVESPA

    117.773,62
    +575,80 (+0,49%)
     
  • MERVAL

    38.390,84
    +233,89 (+0,61%)
     
  • MXX

    45.845,83
    0,00 (0,00%)
     
  • PETROLEO CRU

    87,80
    +0,04 (+0,05%)
     
  • OURO

    1.723,30
    +2,50 (+0,15%)
     
  • BTC-USD

    20.252,95
    +374,43 (+1,88%)
     
  • CMC Crypto 200

    460,90
    -2,22 (-0,48%)
     
  • S&P500

    3.784,46
    +1,18 (+0,03%)
     
  • DOW JONES

    30.222,83
    -51,04 (-0,17%)
     
  • FTSE

    6.986,56
    -66,06 (-0,94%)
     
  • HANG SENG

    18.012,15
    -75,82 (-0,42%)
     
  • NIKKEI

    27.311,30
    +190,77 (+0,70%)
     
  • NASDAQ

    11.658,25
    +34,50 (+0,30%)
     
  • BATS 1000 Index

    0,0000
    0,0000 (0,00%)
     
  • EURO/R$

    5,1086
    -0,0276 (-0,54%)
     

Microsoft Teams tem falha que pode expor credenciais de usuários

Uma vulnerabilidade grave foi descoberta no aplicativo do Microsoft Teams para Windows, macOS e Linux, podendo levar à exposição de credenciais de usuários. Tudo porque, nestes sistemas, o software salva os tokens de autenticação em arquivos de texto simples, sem nenhum tipo de proteção adicional, abrindo espaço para o roubo dos dados caso os criminosos tenham acesso às máquinas.

Em um ambiente em que a virtualização e o acesso remoto estão ganhando espaço, a superfície de ataque é grande. De acordo com o pesquisador Connor Peoples, da empresa de cibersegurança Vectra, basta um acesso local ao computador em que o Microsoft Teams está instalado e logado para que os tokens sejam furtados e possam ser usados para acessar as contas das vítimas.

O relatório sobre a brecha a atribui ao uso do motor Electron no aplicativo, que não usaria criptografia ou medidas de segurança por padrão, dependendo de desenvolvimento adicional para isso. Não seria o caso do Teams, que reforça a orientação da Vectra de que essa plataforma não é segura para a produção de apps que lidam com informações sensíveis e críticas, ainda que seja um meio versátil de desenvolvimento de softwares.

<em>Exemplos de tokens vulneráveis em pasta do Microsoft Teams para Windows, Linux e macOS, que levaram a exploração em que dados podem ser extraídos remotamente por meio de chat (Imagem: Reprodução/Vectra)</em>
Exemplos de tokens vulneráveis em pasta do Microsoft Teams para Windows, Linux e macOS, que levaram a exploração em que dados podem ser extraídos remotamente por meio de chat (Imagem: Reprodução/Vectra)

Mais especificamente, os tokens de verificação foram encontrados em uma pasta do sistema ao lado de outros registros das sessões ativas, conectadas a APIs do Outlook e Skype. A partir disso, os especialistas foram capazes de desenvolver uma exploração que faz com que chamadas para tais sistemas devolvam os dados na própria janela de chat do Teams, ampliando ainda mais o alcance da brecha.

Falha no Microsoft Teams foi encontrada no mês passado

Segundo a Vectra, a abertura foi descoberta em agosto de 2022 e informada à Microsoft. A empresa, entretanto, não teria concordado com a severidade da questão e não a inseriu na lista para atualização, com a abertura permanecendo como um risco para os usuários principalmente agora, que seus detalhes foram compartilhados publicamente.

Em comunicado oficial, a empresa agradeceu ao pesquisador em segurança digital mas diminuiu o alcance da exploração afirmando que, para que ela seja possível, um atacante precisa usar outros métodos para obter acesso aos dispositivos dos usuários. A Microsoft não negou que a questão pode ser abordada em patches futuros, mas esclareceu que a brecha não cumpre os critérios para receber uma atualização direcionada.

Para mitigar o problema, a recomendação é o uso da versão do Teams para navegadores, que não armazenam os tokens de autenticação em texto simples. No caso do Linux, especificamente, a dica é buscar outra ferramenta de colaboração, uma vez que o suporte ao aplicativo será encerrado pela Microsoft no final deste ano. Regras de monitoramento também podem ser usadas para detectar o acesso às pastas do sistema que contém os arquivos vulneráveis.

Fonte: Canaltech

Trending no Canaltech: