Microsoft không phát hành bản vá cho một số lỗ hổng trong ứng dụng Teams

Microsoft cho biết họ sẽ không khắc phục hoặc phát hành các bản vá cho ba trong số bốn lỗ hổng bảo mật được phát hiện trong nền tảng giao tiếp Teams của họ vào đầu tháng 3 này.

Thông tin đến từ Positive Security, công ty bảo mật đã phát hiện việc triển khai tính năng xem trước liên kết dễ gặp phải một số vấn đề như "cho phép truy cập các dịch vụ nội bộ của Microsoft, giả mạo liên kết xem trước, lộ địa chỉ IP của người dùng Android, từ chối dịch vụ".

Trong số bốn lỗ hổng, Microsoft được cho là chỉ giải quyết một lỗ hổng dẫn đến rò rỉ địa chỉ IP từ các thiết bị Android, lỗ hổng từ chối dịch vụ (DoS) sẽ được xem xét để khắc phục trong phiên bản sau này của sản phẩm.

Bốn lỗ hổng bao gồm :

- Lỗ hổng giả mạo yêu cầu phía máy chủ (SSRF) trong endpoint "/urlp/v1/url/info" cho phép kẻ tấn công thu thập thông tin từ mạng cục bộ của Microsoft.

- Lỗ hổng giả mạo liên kết cho phép kẻ tấn thay đổi liên kết xem trước để trỏ đến bất kỳ URL độc hại nào trong khi vẫn giữ nguyên liên kết, hình ảnh xem trước và mô tả ban đầu.

- Lỗ hổng từ chối dịch vụ (DoS), ảnh hưởng đến phiên bản Android của Teams, có thể khiến ứng dụng gặp sự cố chỉ bằng cách gửi tin nhắn có liên kết xem trước độc hại đến mục tiêu.

- Lỗ hổng rò rỉ địa chỉ IP, ảnh hưởng đến ứng dụng Android. Positive Security cho biết có thể truy cập vào địa chỉ IP và dữ liệu “user agent” của người dùng bằng cách chặn các tin nhắn chứa liên kết xem trước trỏ đến domain không phải của Microsoft.

Một trong những nhà sáng lập của Positive Security, Fabian Bräunlein cho biết "Các lỗ hổng được phát hiện chỉ có tác động hạn chế, nhưng thật ngạc nhiên khi những khai thác tấn công đơn giản như vậy dường như chưa được kiểm tra trước đó và Microsoft dường như không có ý định bảo vệ người dùng của họ khỏi chúng".

Nguồn: thehackernews.com