Neuer Teams 2.0-Client mit fetter Authentifizierungs-bypass-Schwachstelle?

[English]Ich brauche mal das Schwarmwissen der Leserschaft, die bereits mit dem neuen Microsoft Teams 2.x-Client herum fuhrwerkt. Ein Leser hat mich darauf hingewiesen, dass es ein Verhalten gibt, welches die Umgehung der Authentifizierung mit dem Nutzerkonto am Client ermöglichen dürfte. Konkret kann sich ein Dritter nach einer Benutzerabmeldung ohne Eingabe eines Kennworts unter dem Konto neu anmelden. Ich stelle die Informationen des Lesers aber mal zur Diskussion.

Lesermeldung zum Problem

Blog-Leser Markus hat mich die Woche per E-Mail kontaktiert, weil er auf ein Problem beim neuen Microsoft Teams 2.0-Client gestoßen ist, von dem er annimmt, dass das problematisch ist. Wie schrieb er:

Ich bin heute auf ein Thema gestoßen, was mich vom Hocker gehauen hat. Der neue Teams-Client hat seit mindestens Dezember 2023 ein Verhalten, welches in meinen Augen hochproblematisch ist.

Markus hat festgestellt, dass die An- und Abmeldevorgänge wohl im Client gespeichert werden. Das hat dann aber einen unschönen Effekt, wie er schreibt. Loggt sich ein Benutzer im neuen Teams-Client ein, und meldet er sich danach wieder ab, sollte dieser Zugang eigentlich für Dritte gesperrt sein. Markus schrieb mir, dass sich ein Dritter dann an der Anmeldeseite (in der Begrüßungsmaske) wieder in dem Konto einloggen kann, ohne dass eine Passwortnachfrage erfolgt.

Ein paar Details

Die Problemstellung war, schreibt Markus, dass das neue Teams alle jemals genutzten Accounts in der Login-Maske zwischenspeichert. Er wollte diese Liste gerne leeren. Wenn ein Benutzer sich bei einen Account ein- und ausgeloggt hat, sieht die Maske dann so aus:

Soweit, so normal, schreibt Markus, man kennt dies auch vom alten Teams-Client. Neu war für den Leser, dass dass ein Klick auf den Vorschlag (er meint vermutlich den "Testmann-Nutzer") sofort in Teams führt – die Anmeldeinformationen müssen nicht mehr eingeben werden. Dazu schrieb Markus: Beim ersten Login wurde bewusst "Nein, nur bei dieser App anmelden" ausgewählt. Das Online-Konto ist also nicht in den Windows-Einstellungen verknüpft.

Mal genauer geschaut

Markus wollte ursprünglich ja "bloß" diese Liste mit Benutzern leeren. Auf Grund obiger Entdeckung begab er sich dann auf die Suche. Man kann die Anmeldedaten des neuen Microsoft Teams 2-Clients in den Windows-Einstellungen zurücksetzen. Markus hat mir nachfolgenden Screenshot geschickt.

Also hat der Leser dann einen Reset der Microsoft Teams App durchgeführt und hoffte, dass damit auch die Daten im Benutzerprofil bereinigt werden. Danach hat er den Microsoft Teams 2-Client erneut gestartet. Er landete wieder auf der Login-Seite mit dem Vorschlag für seinen Testuser und hat den Eintrag erwartungsvoll angeklickt. Und prompt wurde er ohne Passwortabfrage in das Konto des Testusers eingeloggt. Erkenntnis: Ein Reset der App hilft also nicht.

Wie die Daten löschen

Markus hat die Frage gestellt, wie er die Anmeldedaten der Teams-Benutzer löschten könnte. Eine Befragung einer Suchmaschine wie Google ergab nur wenige Treffer und Antworten im Microsoft Answers-Forum. Aber nach längerer Suche stieß er auf den Microsoft Answers-Foreneintrag New Teams – How do you remove users from the "Pick an account" / Login screen?, der Abhilfe verspricht. Ein Nutzer stellt dort die gleiche Frage, weil er eine entsprechende Beobachtung machte und das am 1. Dezember 2023 im Forum meldete.

While testing "New Teams" I have noticed that the "Pick an account" / Login screen shows the previous users that have logged in, even if they have clicked "sign out".

When clicking on those users, it also logs them in without asking for a password.

After reading other posts here, I have tried deleting the cache here: %LocalAppData%\Packages\MSTeams_8wekyb3d8bbwe
And also deleting the data in this folder: %LocalAppData%\Packages\Microsoft.AAD.BrokerPlugin_cw5n1h2txyewy
Doing this has stopped the accounts from being logged in without a password, but the accounts still appear on the "Pick an account" / Login screen.

They do not show in classic teams or any other application and there are no additional accounts in the "Access Work and School" windows setting page.

I have also tried to fully remove and reinstall Teams but the accounts are still visible.

Hört sich nach einer hartnäckigen Kiste an, was die Softwareentwickler (oder -Klempner) in Redmond zusammen gezimmert haben. Markus hat dann eine Lösung für dieses Problem gefunden. Man muss neben dem Teams-Reset zusätzlich noch diese Ordner löschen:

C:\Users\<User>\AppData\Local\Packages\Microsoft.AAD.BrokerPlugin_cw5n1h2txyewy
C:\Users\<User>\AppData\Local\Microsoft\TokenBroker
C:\Users\<User>\AppData\Local\Microsoft\OneAuth

Der Ordner IdentityCache war im Testszenario des Leser nicht vorhanden, fand sich jedoch beim ursprünglichen Problemfall, der die Untersuchung erst veranlasste. Abschließend gewann Markus die Erkenntnis: Startet man dann Teams (und vorher am besten auch den PC) neu, begrüßt einen wieder die jungfräuliche Loginmaske ohne vordefinierte Optionen, und vor Allem kommt man nicht mehr passwortlos in den Account.

Teams 2.0-Bug bei OneAuth

Der Leser hat dann nach desm Stichwort OneAuth gesucht und ist auf einen 4 Jahre alten Reddit-Thread mit dem Titel How in the crap are my Microsoft Account credentials being cached?? gestoßen. Schon lustig, damals hat sich schon jemand mokiert, dass Microsoft Konten-Anmeldedaten (Credentials) gecached werden.

Markus schließt daraus, dass dieses "OneAuth-Thema also schon länger schwelt". Und er ergänzt, dass Microsoft Teams 2.0 zusätzlich noch "den Bug" aufweist, dass eben keinerlei Logindaten abgefragt werden. Wie schreibt der Leser:

Wer sich also irgendwo auch nur für eine Minute in seinen Teams-Account einloggt unter dem neuen Teams, riskiert, dass später jemand einfach so auf den Account zugreifen kann. Ein einfaches „Abmelden" in Teams reicht nicht aus, sondern man muss tief hinabsteigen und mehrere Ordner löschen.

Der Leser skizziert das Szenario, dass es sicherlich viele Firmen gibt, die Besprechungsräume mit speziellen "Besprechungs-" Windows-Usern betreiben. Dort meldet man sich dann in der Teams-App an und später wieder ab. In Folge werden sich dort auf den Systemen mit der Zeit die Anmeldedaten vieler "Teams Accounts" ansammeln. Microsoft scheint dieses Problem nicht wirklich bekannt zu sein, nicht zu interessieren. Ergänzung: Ist wohl dem Thema "Single sign on" zu verdanken.

Markus meinte dazu: "Ich dachte mir, vielleicht können Sie das in einem Beitrag verarbeiten und so Aufmerksamkeit für dieses Problem erzeugen.", was ich damit umgesetzt habe. Vielleicht testen interessierte Leser das und geben Rückmeldung. Danke an Markus für den Hinweis und die Aufbereitung des Themas.

Problem bereits im Blog erwähnt

Ergänzung: War mir wieder entfallen, Fritz hat das Authentifizierungsproblem bereits Mitte Januar 2024 in diesem Kommentar zu meinem Beitrag Teams 2.0-Umstieg: Abstimmung mit den Füßen? 2/3 noch auf altem Client berichtet.

PowerShell-Lösung zum Löschen der Credentials

In Facebook gab es die Rückmeldung zu meinem Beitrag, dass das Problem bekannt sei und für alle Office-Apps wohl zutreffe. Sebastian hat folgende PowerShell-Befehle angegeben, um den Teams-Cache zu leeren, vielleicht hilft es ja.

Write-Host "Microsoft Teams wird jetzt beendet, um den Cache zu leeren." try{ Get-Process -name ms-teams | Stop-Process -Force Start-Sleep -Seconds 5 Write-Host "Microsoft Teams wurde erfolgreich beendet." } catch{ echo $_ } # Der Cache wird nun geleert try{ Get-ChildItem -Path $env:LOCALAPPDATA\"Packages\MSTeams_8wekyb3d8bbwe" | Remove-Item Get-ChildItem -Path $env:LOCALAPPDATA\"Packages\Microsoft.AAD.BrokerPlugin_cw5n1h2txyewy" | Remove-Item Get-ChildItem -Path $env:LOCALAPPDATA\"Microsoft\OneAuth" | Remove-Item Get-ChildItem -Path $env:LOCALAPPDATA\"Microsoft\TokenBroker" | Remove-Item Get-ChildItem -Path $env:LOCALAPPDATA\"Microsoft\IdentityCache" | Remove-Item } catch{ echo $_ } write-host "Der Microsoft Teams Cache wurde erfolgreich geleert."

Ergänzung: Jemand hat im englischsprachigen Blog kommentiert, dass das Löschen der obigen Ordner die komplette Anmeldung für alle MS 365-Dienste entfernt. Und jemand hat dort auch einen Registrierungseintrag für den alten Teams-Client genannt, mit dem man das Verhalten bei der Anmeldung anpassen kann.

Zudem hat mich ein Leser auf Mastodon auf den Techcommunity-Beitrag Upcoming changes to Windows single sign-on vom 14. Dezember 2023 hingewiesen. Microsoft baut gerade die Single Sign On (SSO) Anmeldung für den europäischen Nutzerkreis um.

Ähnliche Artikel:
PSI Software Opfer eines Cyberangriffs (15. Feb. 2024)
Online-Ausweis-Funktion eID mit Schwachstelle CVE-2024-23674
Microsoft & OpenAI stoppen Hacker aus China, Russland, Iran und Nordkorea
Ivantis uralter Software-Klump – fällt auch Sicherheitsforschern auf
Zoom-Client mit Schwachstelle CVE-2024-24691 (13. Feb. 2024)
Schwachstellen in AMD CPUs (Feb. 2024)
Local Privilege Escalation-Schwachstelle CVE-2024-035 in ESET-Produkten gefixt