Microsoft Teams miał krytyczny błąd. Analiza trwała "wieczność"

Na problem zwrócił uwagę Tom Warren na Twitterze, który odsyła do obszernej publikacji w serwisie GitHub (w języku angielskim), gdzie Oskars Vegeris opisuje, jak działał problematyczny exploit. Wykorzystanie szeregu mechanizmów pozwoliło doprowadzić do automatycznego, zdalnego uruchomienia szkodliwego kodu, do czego wystarczyło wyświetlenie spreparowanej wiadomości przez innego użytkownika Microsoft Teams.

Co interesujące, luka w Teams została zgłoszona Microsoftowi 31 sierpnia bieżącego roku. Problemy zaczęły się już na starcie, bowiem krytyczny błąd został wzięty pod uwagę dopiero 30 września, otrzymując przy tym w dodatku jedną z najniższych możliwych ocen ważności. Koniec końców luka została załatana dopiero pod koniec października, a po drodze Microsoft nie zdecydował się nawet na przypisanie błędowi numeru CVE, co obecnie stosowane jest tylko w przypadku produktów, które nie aktualizują się automatycznie.

Obecnie użytkownicy Microsoft Teams, których aplikacje są automatycznie aktualizowane są więc bezpieczni, ale nie zmienia to faktu, że Microsoft nie popisał się w opisywanym przypadku zaangażowaniem i szybkością działania. W dobie pandemii Teams jest jednym z podstawowych narzędzi pracy w wielu domach, a przez to potencjalni atakujący mogli z łatwością zyskać dostęp do komputerów niczego nieświadomych użytkowników. W pierwszej połowie roku, na początku pandemii koronawirusa, Microsoft Teams zyskał 12 mln użytkowników zaledwie w tydzień.

Microsoft Teams na Windowsa, macOS-a, Androida i iOS-a jest dostępny do pobrania z naszego katalogu oprogramowania.