Microsoft Teams는 인증 토큰을 일반 텍스트로 저장합니다.

보안 회사 Vectra에 따르면 Microsoft Teams는 암호화되지 않은 일반 텍스트 모드로 인증 토큰을 저장하므로 공격자가 조직 내 통신을 제어할 수 있습니다. 이 취약점은 Microsoft의 Electron 프레임워크를 사용하여 구축된 Windows, Mac 및 Linux용 데스크톱 앱에 영향을 줍니다. Microsoft는 이 문제를 알고 있지만 악용에는 네트워크 액세스가 필요하므로 즉시 수정할 계획이 없다고 말합니다.

Vectra에 따르면 로컬 또는 원격 시스템에 액세스할 수 있는 해커는 현재 온라인 팀 사용자의 자격 증명을 훔치고 오프라인일 때도 발생할 수 있습니다. 또한 Skype 및 Outlook과 같은 Teams와 연결된 앱을 통해 사용자가 될 수 있지만 대개 필요한 MFA(다중 요소 인증)를 우회합니다.

이를 통해 공격자는 SharePoint 파일, Outlook 메일 및 캘린더, Teams 채팅 파일을 변경할 수 있습니다. “더 많은 피해를 입히는 것은 공격자가 대상 피싱 공격을 선택적으로 파괴, 훔치거나 관여함으로써 조직의 합법적 인 통신을 변조 할 수 있다는 것입니다.”

공격자는 대상 피싱 공격을 선택적으로 파괴, 훔치거나 참여함으로써 조직 내에서 합법적인 커뮤니케이션을 변조할 수 있습니다.

Vectra는 액세스 토큰을 통해 자격 증명 소유자 계정에 메시지를 보낼 수 있는 개념 증명 익스플로잇을 만들었습니다. “기업 엔지니어링 책임자, CEO 또는 CFO와 같은 중요한 좌석을 완전히 제어한다고 가정하면 공격자는 조직을 손상시키는 작업을 수행하도록 사용자를 안내할 수 있습니다.”

최신 웹 브라우저와 달리 Electron 프레임워크(기본적으로 웹 앱 포트 만들기)에는 ‘쿠키 데이터를 보호하기 위한 추가 보안 컨트롤이 없기 때문에’ 문제는 주로 데스크톱 앱으로 제한됩니다. 합니다. 따라서 Vectra는 패치를 만들 때까지 데스크톱 앱을 사용하지 않고 대신 웹 응용 프로그램을 사용하는 것이 좋습니다.

사이버보안뉴스사이트에서 알림을 받으면 다크 리딩 Microsoft는 이 취약점에 대해 “공격자가 먼저 대상 네트워크에 액세스해야 하기 때문에 즉시 서비스를 제공하기 위한 기준을 충족하지 못한다”고 향후 제품 릴리스에서 해결할 것을 고려 그러자 덧붙였습니다.

그러나 위협 사냥꾼 존 밤베넥은 다음과 같이 말합니다. 다크 리딩 네트워크 침해가 발생하면 ‘가로 이동’의 보조 수단을 제공할 수 있습니다. 그는 또한 Microsoft가 프로그레시브 웹 앱으로 전환하고 있다고 언급했습니다. 이것은 “Electron이 현재 가져온 많은 우려를 완화”하는 것입니다.

Engadget이 권장하는 모든 제품은 모회사와 별도의 편집 팀에서 선택합니다. 일부 스토리에는 제휴 링크가 포함되어 있습니다. 이러한 링크 중 하나를 구입하면 제휴 커미션이 발생할 수 있습니다. 모든 가격은 공개 시간입니다.

Leave a Reply

Your email address will not be published.