Microsoft załatał system logowania. Za pierwszym razem problem zbagatelizowano

Microsoft naprawił swój system logowania po tym, jak odkryto w nim poważną lukę. Błąd pozwalał na dostęp niepowołanych osób do kont użytkowników. Od zgłoszenia do wydania odpowiedniej aktualizacji minęły jednak aż 3 tygodnie.

Lukę odkrył zespół z CyberArk, który analizował funkcjonalność Microsoft Azure i uwierzytelniania OAuth 2.0. Badając te usługi zwrócono uwagę na błąd, w wyniku którego atakujący mogli wejść w posiadanie tokenów. Są one wykorzystywane przez strony do logowania użytkowników bez konieczności ponownego wpisywania haseł w niektórych przypadkach. Ponadto, takie działanie mogło pozostać niezauważone.

Aby atak na system logowania Microsoftu okazał się skuteczny, można było skorzystać z dwóch podejść. Pierwsze zakładało, że potencjalna ofiara kliknie w spreparowane łącze (na przykład w wiadomości e-mail), które doprowadzi ją do specjalnie przygotowanej strony, przejmującej token. Co jednak najciekawsze, token można było uzyskać nawet bez nakłaniania ofiary do jakichkolwiek działań, wykorzystując przy tym jej nieświadomość podczas osadzania ramki ze stroną prowadzącą do fałszywego adresu.

Opisywany błąd z logowaniem do usług Microsoftu mógł prowadzić do sporych problemów, czego tłumaczenie jest tylko formalnością. Atakujący dysponujący tokenem (a więc w praktyce mogący się logować do usług danego użytkownika) mogli między innymi zmodyfikować, usunąć czy zaszyfrować dane przechowywane na serwerach i wpłynąć na właściwe działanie usług. Do tego dochodzi oczywiście kwestia naruszonej prywatności w wyniku samego dostępu do przechowywanych danych.

Jeśli zainstalujesz na swoim urządzeniu odpowiednio dobrego antywirusa z funkcją natychmiastowego skanowania, to nie będziesz musiał czekać kilka tygodni, aż w systemie operacyjnym twojego urządzenia zostaną załatane luki.

Problem z luką w systemie logowania Microsoftu jest już na szczęście rozwiązany. Co ciekawe, od momentu zgłoszenia błędu, właściwa aktualizacja została wdrożona dopiero po trzech tygodniach. Jak podaje CyberArk, pierwsze zgłoszenie problemu zostało najwidoczniej uznane za przypadkowe lub nieuzasadnione – Microsoft szybko oznaczył sprawę jako zakończoną, nie podejmując żadnych kroków. Dopiero drugie zgłoszenie zmusiło zespół do działania.