Microsoft versleutelt de authenticatie-tokens van Teams gebruikers niet. Zo kan iedereen met toegang tot een toestel of netwerk van een bedrijf zich in theorie voordoen als een legitieme werknemer.
Microsoft Teams houdt authenticatie-tokens onversleuteld bij in leesbare plaintext. Dat ontdekte beveiligingsspecialisten van Vectra. Het probleem treft de desktoptoepassingen van Teams op Windows, Mac en Linux, gebouwd op Electron.
Vrije toegang
Volgens Vectra kan een aanvaller die zich al toegang heeft verworven tot het netwerk of een toestel van een slachtoffer aan de slag met de bug. Het lek laat de crimineel toe om zonder extra permissies de credential-tokens te stelen van iedere aangemelde Teams-gebruiker. Met het gestolen token kan een aanvaller zich voordoen als iemand anders en zo alle acties uitvoeren die het slachtoffer ook kan uitvoeren op Teams.
Aangezien Microsoft Teams als een centrale hub voor digitaal werk ziet, kan dat heel wat zijn. Vectra claimt dat alle Microsoft Graph API-functies toegankelijk zijn. Het token laat aanvallers ook toe om in sommige gevallen MFA te omzeilen.
CEO, CFO of aanvaller?
Het grootste gevaar is echter phishing. Een hacker die toegang heeft tot het netwerk, kan zich via de kwetsbaarheid voordoen als iemand anders in de organisatie. Denk gerust aan de CEO of de CFO. Wanneer die laatste iemand in de boekhouding vraagt om bijvoorbeeld het rekeningnummer van een klant even aan te passen, is de kans groot dat dat geen argwaan zal wekken.
lees ook
De 5 fases van een cyberaanval: wanneer kan je nog tussenkomen en wanneer is het te laat?
Microsoft vindt het probleem ietwat verrassend niet noemenswaardig en plant niet om het meteen op te lossen. De softwareboer wijst erop dat de kwetsbaarheid zelf niet kan uitgebuit worden indien een aanvaller niet al via een ander lek toegang heeft tot het systeem van een potentieel slachtoffer.
Belangrijke tool voor geavanceerde aanvallen
Cyberaanvallen bestaan zoals we eerder beschreven uit verschillende fases. De initiële kraak is slechts de eerste fase. Op zoek naar data om te stelen of manieren om schade aan te richten moet de hacker zich in alle stilte door het netwerk begeven zonder dat er alarmbellen afgaan. De bug in Teams heeft aanvallers extra tools om dat te verwezenlijken.