Os clientes de desktop do Microsoft Teams armazenam tokens de autorização em texto não criptografado

Foi descoberta uma vulnerabilidade nos clientes de desktop do Microsoft Teams para Windows, macOS e Linux criados usando a estrutura Microsoft Electron que pode permitir que um invasor em potencial assuma o controle das comunicações corporativas. Os aplicativos armazenam tokens de autorização de forma clara, descobriram os especialistas em segurança cibernética da Vectra.

Fonte da imagem: Mika Baumeister / unsplash.com

De acordo com a Vectra, um hacker com acesso local ou remoto ao sistema pode roubar as credenciais de qualquer usuário online do Teams e depois falsificá-las, mesmo que fiquem offline. A exploração dessa vulnerabilidade também pode representar um usuário em serviços relacionados ao Teams, incluindo Skype ou Outlook. Fazendo-se passar por outra pessoa, um invasor em potencial tem a oportunidade de interferir nas comunicações corporativas e realizar ataques de phishing. Os especialistas da Vectra demonstraram a exploração enviando uma mensagem em nome de um dos usuários do Teams.

O problema afeta apenas a versão desktop do aplicativo, pois a plataforma Electron não possui mecanismos fortes de proteção contra cookies, ao contrário dos navegadores modernos. Isso significa que usar o cliente web é mais seguro – é recomendável usá-lo apenas até que o erro seja corrigido. A situação é complicada pelo fato de que, em resposta a uma mensagem sobre a descoberta de uma vulnerabilidade, a Microsoft afirmou que a prioridade para o lançamento de um patch “não atende aos requisitos de manutenção imediata”, já que um invasor em potencial precisa de pelo menos acesso a a rede corporativa para explorá-lo. No entanto, a atualização ainda será lançada, embora não seja especificado quando exatamente.