Sākumlapa » Apdraudējumi » Drošības inženieris no Latvijas atklāj attāli izmantojamu tārpveidīgu Microsoft Teams ievainojamību

Drošības inženieris no Latvijas atklāj attāli izmantojamu tārpveidīgu Microsoft Teams ievainojamību

raksta The Hacker News, bezklikšķa attālās koda izpildes (RCE) ievainojamība Microsoft Teams darbvirsmas lietotnēs varēja ļaut ļaunprātīgiem uzbrucējiem izpildīt patvaļīgu kodu mērķa sistēmā (inficēt to), vienkārši nosūtot īpaši izveidotu tērzēšanas ziņojumu.

Par šīm problēmām korporācijai Microsoft 2020. gada 31. augustā paziņoja Evolution Gaming drošības inženieris Oskars Veģeris. “Lietotāja mijiedarbība nav nepieciešama. Ekspluatējums tiek izpildīts, parādoties tērzēšanas ziņojumam,” Veģeris skaidro tehniskajā rakstā. Saskaņā ar pētnieka teikto uzbrukuma rezultāts, izmantojot ievainojamību, ir “pilnīgs konfidencialitātes un integritātes zudums galalietotājiem — piekļuve privātajām tērzēšanas sarunām, failiem, iekšējam tīklam, privātajām atslēgām un personas datiem ārpus MS Teams”.

Vēl sliktāk, attāli izmantojamā ievainojamība ir starpplatformu — tā piemīt Microsoft Teams for Windows (v1.3.00.21759), Linux (v1.3.00.16851), macOS (v1.3.00.23764) (tagad jau ir izlaistas jaunākas versijas) un piemita tīmekļa variantam (team.microsoft.com) — un to varētu izmantot tārpveidīga kaitīgā koda izveidei, kas automātiski izplatītos uz citiem Microsoft Teams lietotājiem un kanāliem.

Ievainojamība, kuru ekspluatējot, varētu sarīkot īstu haosu pandēmijas laikā, ir klusiņām aizlāpīta oktobra beigās, pat nepiešķirot tai CVE numuru. Vēl vairāk, Microsoft ievainojamību ir novērtējis ar diezgan zemu novērtējumu “Important, Spoofing” savā ievainojamību atklāšanas atlīdzību (bug bounty) programmā. Šajā sakarā Oskars Veģeris, pieliekot beigās 😂, raksta, ka tagad starp viņa kolēģiem ir jauns joks attiecībā uz attāli izmantojamām ievainojamībām. Kad tiek atklāta attāli izmantojama ievainojamība, viņi to sauc par “Important, Spoofing” (“Svarīgi, krāpšanās”). Tā vien šķiet, ka programmatūras gigants cenšas pieklusināt informāciju par nopietnām ievainojamībām laikā, kad notiek cīņa par lietotājiem ar pēkšņu popularitātes sprādzienu piedzīvojušo Zoom (atceramies virkni negatīvu publikāciju līdz pat aicinājumiem nelietot Zoom, atsaucoties uz drošību).

Šī nav pirmā reize, kad līdzīgas attāli izmantojamas ievainojamības tiek atklātas Microsoft Teams un citās ziņojumapmaiņas lietotnēs. Šī gada novembra “ielāpu otrdienas” atjauninājumā bija ietverts ielāps Microsoft Teams ievainojamībai CVE-2020-17091.

Agrāk šī gada augustā Veģeris atklāja kritisku tārpveidīgu ievainojamību Slack darbvirsmas versijā, kas varēja ļaut uzbrucējam pārņemt sistēmu, vienkārši nosūtot ļaunprātīgu failu citam Slack lietotājam. Tad septembrī tīkla aprīkojuma ražotājs Cisco savā Windows Jabber videokonferenču un ziņojumapmaiņas lietotnē izlaboja līdzīgu trūkumu, kas, to izmantojot, ļautu autentificētam, attālam uzbrucējam izpildīt patvaļīgu kodu.

Kā redzam no augstāk minēto trūkumu atklāšanas gadījumiem, no nopietnām ievainojamībām nav pasargāta neviena programmatūra, tāpēc ir ļoti svarīgi rūpēties par programmatūras savlaicīgu atjaunināšanu. Tomēr arī tas nav viss, jo ir iespējamas situācijas, kad ievainojamība tiek ļaunprātīgi izmantota pirms ielāpa iznākšanas. Šādos gadījumos ļoti svarīgu lomu spēlē gan lietotāju un sistēmu administratoru veikti papildus pasākumi, gan aizsardzības programmatūra ar tehnoloģijām ekspluatējumu automatizētai atklāšanai.

Birkas:
Iepriekšējais raksts
Nākošais raksts

4 Komentāri

  1. Jums M$ Officē nav spellchekers?
    Neprotat lietot?
    Varbūt vajag mainīt nodarbošanos? Jo datorlietas jums ir pa grūtu, tāpat kā gramatika.

Komentēt

Jūsu e-pasts netiks publicēts. Obligātie lauki ir iezīmēti *

*

36 + = 38

Uz augšu