Microsoft Teams ist verwundbar und Angreifer könnten mit vergleichsweise wenig Aufwand ganze Systeme kompromittieren. Der Grund dafür ist eine Schadcode-Lücke. Davon sollen neben der Webversion auch die Clients für Linux, macOS und Windows betroffen sein.
Entdeckt hat die Schwachstellen in Microsoft Teams der Sicherheitsforscher Oskars Vegeris. Die Details hat er in einem Beitrag festgehalten. Er stuft die Lücken als "kritisch" ein. Microsoft sieht das ihm zufolge anders und vergibt die Bewertung "wichtig". Eine CVE-Nummer zur Kennzeichnung der Lücke wird es wohl nicht geben, da Microsoft dies bei sich selbst aktualisierenden Anwendungen – wie es beim Teams-Client der Fall ist – ausschließt, zitiert Vegeris in seinem Beitrag.
Der Sicherheitsforscher gibt an, Microsoft Ende August 2020 über das Problem informiert zu haben. Seit Ende Oktober sollen die Schwachstellen geschlossen sein. Ab welcher Versionsnummer die Patches integriert sind, ist bislang nicht bekannt.
Gefährliche Chat-Nachricht
Vegeris gibt an, dass Angreifer in der Webversion lediglich eine präparierte Nachricht in Team-Chats verschicken müssten, um Accounts zu übernehmen. In den Clients war ihm sogar möglich, Schadcode auf Systemen auszuführen. In beiden Fällen muss sich ein Angreifer natürlich bereits in einem Chat befinden.
Damit eine Attacke klappt, muss ein Opfer die Nachricht lediglich öffnen. Demzufolge könnten Angreifer ohne viel Arbeit zu investieren ganze Systeme kompromittieren. Besonders gefährlich ist, dass sich so eine Attacke durch Weiterleiten der Nachricht wurmartig weiterverbreiten könnte.
In der Webversion setzt der Sicherheitsforscher auf eine persistente XSS-Attacke. Bei der Client-Attacke kommt ein JavaScript-Exploit zum Einsatz, den Angreifer aufgrund eines Fehlers im displayName-Parameter platzieren könnten. Damit das klappt, müssten sie in einer Chat-Nachricht lediglich einen Nutzer erwähnen und die Payload in die Nachricht einfügen. Die Exploits umgehen dabei Sicherheitsmechanismen der zum Einsatz kommenden Frameworks AngularJS und Electron.
Quelle: Schlupfloch für Schadcode in Microsoft Teams geschlossen | heise online