Microsoft Teams: Jak se máte zranitelnosti?

Věříte tomu, co čtete v chatu MS Teams? A víte, že se vám může skrytě měnit?

Chatujete často, nevěříte na spoofing, říkáte si, co je psáno to je dáno? A co když vám řeknu, nedělejte to, chat se vám může změnit doslova pod rukama.

Když jsem při pentestování objevil triviálně exploitovatelnou zranitelnost u MS Teams, tak proto, že se často potkávám s online podvody, vím jak se všechny věci kolem spoofingu, tamperingu v komunikačních programech (např. WhatsApp) okamžitě zneužívají, ihned jsem ji nahlásil Microsoftu (MSRC). V čem zranitelnost spočívá můžete vidět zde:

Je pravdou, že jsem byl také zvědavý na proces zpracování hlášení zranitelnosti. Níže uvedený obrázek to v podstatě ilustruje sám, tedy neopraveno=vyřízeno. Takže jak to probíhalo?

První hlášení 17.4. bylo již následující den uzavřeno s tím, že „S těmito typy problémů podpory nemůžeme přímo pomoci. Příslušná stránka pro kontaktování podpory zde … a konec komunikace“.

I když i z mého pohledu je jasné, že MS Teams není žádná kritická služba a důvěrnost dat nebo jejich integrita nejsou tak důležité, tudíž nelze očekávat, že by se tomu v MS někdo prioritně věnoval, ale že se nalezené zranitelnosti nebude věnovat nikdo, mě trochu překvapilo. Takže jsem komunikaci opět otevřel a ukázal, jak vypadá legitimní změna/smazání MS TEAMS chatu:

a jak vypadá ona skrytá změna/vymazání chatu:

Celá zranitelnost je triviálně exploitovatelná, protože MS Teams trpí základní chybou spočívající v neexistující jedinečnosti ID zpráv, kde parametr clientmessageid lze opakovaně použít se stejnou hodnotou a zatímco legitimní tj. viditelná úprava chatu se provádí metodou PUT tak skrytou uděláme přes metodu POST jako novou zprávu.

A k tomu, abychom mohli měnit chat, i po ukončení volání kdykoliv, nám kromě id zprávy a id chatu stačí skypetoken. Ano, slyšíte správně v MS Teams má access token název skypetoken. A nejde ani tak o to, že skypetoken můžete s právy daného uživatele snadno získat jako spíše o to, že tento access token můžete odkudkoliv v Internetu použít. Ostatně u MS Teams není nefunkčnost CAE (Continuous access evaluation) až takový problém jako u M365 služeb, kde už bychom chtěli citlivá data chránit. Tak snad někdy příště.

Štítky: videokonference

Diskuse na tomto webu je moderována. Pod článkem budou zobrazovány jen takové komentáře, které nebudou sloužit k propagaci konkrétní firmy, produktu nebo služby. V případě, že chcete, aby z těchto stránek vedl odkaz na váš web, kontaktujte nás, známe efektivnější způsoby propagace.