{"id":231089,"date":"2020-04-27T13:26:51","date_gmt":"2020-04-27T11:26:51","guid":{"rendered":"https:\/\/www.borncity.com\/blog\/?p=231089"},"modified":"2024-08-12T13:48:00","modified_gmt":"2024-08-12T11:48:00","slug":"microsoft-teams-schwachstelle-erlaubte-kontenbernahme","status":"publish","type":"post","link":"https:\/\/borncity.com\/blog\/2020\/04\/27\/microsoft-teams-schwachstelle-erlaubte-kontenbernahme\/","title":{"rendered":"Microsoft Teams: Schwachstelle erlaubte Kontenübernahme"},"content":{"rendered":"

[English<\/a>]Microsoft musste seinen Teams-Client zus\u00e4tzlich absichern, nachdem Sicherheitsforscher eine Schwachstelle gefunden hatten. Die Anzeige eines GIF-Bildes lie\u00df sich von Angreifern zur Konten\u00fcbernahme missbrauchen. Microsoft hat inzwischen Ma\u00dfnahmen ergriffen, um diese Art des Angriffs zu verhindern.<\/p>\n

<\/p>\n

\"\"Microsoft Teams ist Microsofts Kommunikations- und Kollaborationsplattform, die Chat, Videokonferenzen, Dateispeicherung, Zusammenarbeit an Dateien und Integration mit Anwendungen kombiniert. Microsoft Teams ist Bestandteil eines Office 365-Abonnements und steht daher in Unternehmen vielen Mitarbeitern zur Verf\u00fcgung. Zudem bietet Microsoft kostenfreie Versionen von Teams an. In Zeiten der Coronavirus-Pandemie wird Microsoft Teams ja verst\u00e4rkt eingesetzt, um Mitarbeiter mit Home-Office die Kommunikation im Team zu erm\u00f6glichen oder Meetings abzuhalten. Da ist es wichtig, dass die Software sicher verwendet werden kann. Angriffe auf Videokonferenzsoftware werden zur Zeit verst\u00e4rkt durchgef\u00fchrt, da viele Leute im Home-Office arbeiten.<\/p>\n

GIF-Bild reichte f\u00fcr die Konten\u00fcbernahme<\/h2>\n

Sicherheitsforscher von CyberArk sind im Microsoft Teams-Client auf eine Schwachstelle gesto\u00dfen, die einen Konten\u00fcbernahme durch ein GIF-Bild erm\u00f6glichte. Es reichte, dass der Angreifer eine GIF-Datei an ein Opfer sendete. Damit erhielt er die Kontrolle \u00fcber dessen Konto. Diese Schwachstelle hatte das Potenzial, alle Microsoft-Team-Konten einer Organisation zu \u00fcbernehmen. Omer Tsarfati hat das Ganze am 27. April 2020 in diesem Blog-Beitrag<\/a> offen gelegt.<\/p>\n

Cookies: Die Sache mit dem Gl\u00fcckskeks<\/h3>\n

Omer Tsarfati schreibt, dass den Sicherheitsforschern bei der Untersuchung der Software etwas sehr Interessantes aufgefallen sei. Es geht darum, wie Microsoft Teams das Authentifizierungs-Zugriffstoken an die Bildressourcen weitergibt. Jedes Mal, wenn ein Benutzer Teams \u00f6ffnet, erstellt der Client ein neues tempor\u00e4res Token bzw. Zugriffstoken. Dieses Zugriffstoken ist ein JSON Web Token<\/a> (JWT) und wird von Microsofts Authentifizierungsserver \"login.microsoftonline.com\" vergeben.<\/p>\n

Neben dem Token f\u00fcr den Erstzugriff gibt es weiteres Tokens, die f\u00fcr Teams erstellt werden. Einige werden f\u00fcr den Zugriff auf verschiedene Dienste wie SharePoint, Outlook und viele andere verwendet. Eines dieser Tokes (das sogenannte Skype-Token) wird vom Teams-Client verwendet, um einem Benutzer Bilder anzuzeigen, die von ihm und einer Gruppe gemeinsam genutzt werden. Da diese Bilder auf den Servern von Microsoft gespeichert sind, wodurch erfolgt eine Berechtigungskontrolle.<\/p>\n

CyberArk-Forscher fanden heraus, dass sie in der Lage waren, ein Authtoken-Cookie zu erhalten, das Zugang zu einem Ressourcenserver (api.spaces.skype.com) gew\u00e4hrt. Dar\u00fcber konnten sie ein Skype-Token erstellen, wodurch die Sicherheitsforscher uneingeschr\u00e4nkte Berechtigungen zum Senden und Lesen von Nachrichten, Erstellen von Gruppen, Hinzuf\u00fcgen neuer Benutzer oder Entfernen von Benutzern aus Gruppen, \u00c4ndern von Berechtigungen in Gruppen \u00fcber die Team-API erhielten.<\/p>\n

Da das Authtoken-Cookie so eingestellt ist, dass es an teams.microsoft.team<\/em> oder eine seiner Subdom\u00e4nen gesendet wird, entdeckten die Forscher zwei Subdom\u00e4nen (aadsync-test.teams.microsoft.com<\/em> und data-dev.teams.microsoft.com<\/em>), die f\u00fcr \u00dcbernahmeangriffe anf\u00e4llig waren.<\/p>\n

\"Wenn ein Angreifer einen Benutzer auf die \u00fcbernommenen Subdom\u00e4nen locken kann, sendet der Browser des Opfers dieses Cookie an den Server des Angreifers. Der Angreifer kann (nach Erhalt des Authtokens) ein Skype-Token erstellen.\", schreiben die Sicherheitsforscher. \"Anschlie\u00dfen kann der Angreifer die Kontodaten des Teams des Opfers stehlen\".<\/p>\n

\"Teams<\/p>\n

Sobald der Angreifer Kontrolle \u00fcber die kompromittierten Unterdom\u00e4nen erlangte, h\u00e4tte er einfach einen b\u00f6sartigen Link, beispielsweise ein GIF, an ein ahnungsloses Opfer oder an alle Mitglieder eines Gruppen-Chats senden k\u00f6nnen. \u00d6ffnen die Empf\u00e4nger die Nachricht, schickt der Browser die Authtoken-Cookies an die kompromittierte Subdom\u00e4ne, um das Bild anzeigen zu k\u00f6nnen.<\/p>\n

Anschlie\u00dfend kann der Angreifer das Authtoken-Cookie verwenden, um ein Skype-Token zu erstellen und somit auf alle Daten des Opfers zugreifen. Der Angriff kann auch durch Au\u00dfenstehende erfolgen, die z.B. per Link zu einer Telefon-Konferenz und damit Zugriff auf den Chat erhalten. \"Das Opfer bekommt nicht mit, dass es angegriffen wurde, was die Ausnutzung dieser Schwachstelle gef\u00e4hrlich macht\", so die Forscher. Der Angriff klappt sowohl \u00fcber die Web-Variante als auch \u00fcber die Desktop-App des Teams-Clients.<\/p>\n

Microsoft hat Ma\u00dfnahmen gegen diese Bedrohung ergriffen, nachdem es \u00fcber die Schwachstelle informiert wurde. So wurden die falsch konfigurierten DNS-Eintr\u00e4ge, die die \u00dcbernahme der beiden Unterdom\u00e4nen erm\u00f6glichten, gel\u00f6scht. Und es wurde weitere Ma\u00dfnahmen ergriffen, um \u00e4hnliche Fehler in Zukunft zu vermeiden. Zusammenfassende Artikel finden sich bei The Hacker News<\/a> und Bleeping Computer<\/a>.<\/p>\n

\u00c4hnliche Artikel:<\/strong>
\nMS Teams: Bug verhindert Whiteboard-Nutzung in Europa<\/a>
\nVerursacht Windows 10 VPN-Bug-Fix Update Teams-Probleme?<\/a>
\nEinschr\u00e4nkungen bei MS Teams, OneNote, Office365<\/a>
\nMicrosoft Teams hat 44 Millionen DAUs \u2013 und es klemmt<\/a>
\nMS Teams wegen Zertifikatsfehler down (3.2.2020)<\/a>
\nMicrosoft Teams und die Sicherheit \u2026<\/a>
\nZoom kappt Datentransfer zu Facebook in iOS-App<\/a>
\nApple aktualisiert macOS, um Zoom-L\u00fccke zu schlie\u00dfen<\/a>
\nZoom-L\u00fccke: Auch RingCentral und Zhumu betroffen<\/a>
\nZoom for macOS weiter angreifbar?<\/a>
\nMac-Update schlie\u00dft Zoom-L\u00fccke, Apple Watch: Walki Talkie-App deaktiviert<\/a>
\nZoom: Nutzer-Explosion und Sicherheitsprobleme<\/a>
\nSicherheitsbedenken: Zoom in einigen US-Schulen verbannt<\/a>
\nZoom: von 200 auf 300 Millionen Nutzer pro Tag<\/a><\/p>\n","protected":false},"excerpt":{"rendered":"

[English]Microsoft musste seinen Teams-Client zus\u00e4tzlich absichern, nachdem Sicherheitsforscher eine Schwachstelle gefunden hatten. Die Anzeige eines GIF-Bildes lie\u00df sich von Angreifern zur Konten\u00fcbernahme missbrauchen. Microsoft hat inzwischen Ma\u00dfnahmen ergriffen, um diese Art des Angriffs zu verhindern.<\/p>\n","protected":false},"author":2,"featured_media":0,"comment_status":"open","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[426,7459],"tags":[4328,3836,5595],"class_list":["post-231089","post","type-post","status-publish","format-standard","hentry","category-sicherheit","category-software","tag-sicherheit","tag-software","tag-teams"],"_links":{"self":[{"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/posts\/231089","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/users\/2"}],"replies":[{"embeddable":true,"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/comments?post=231089"}],"version-history":[{"count":0,"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/posts\/231089\/revisions"}],"wp:attachment":[{"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/media?parent=231089"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/categories?post=231089"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/tags?post=231089"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}