LA VULNERABILIDAD CRÍTICA XSS EN MICROSOFT TEAMS PERMITE ROBAR LAS CREDENCIALES (USUARIOS Y CONTRASEÑAS) ALMACENADAS EN SUS NAVEGADORES. ACTUALIZAR INMEDIATAMENTE

 

Un investigador de seguridad descubrió que los atacantes podrían abusar de la popular función de stickers en Microsoft Teams para realizar de ataque de secuencias de comandos entre sitios (Ataque XSS).

 

Los equipos de Microsoft, junto con los servicios de teleconferencia comparables, incluido Zoom, han experimentado un aumento en la popularidad en los últimos años.  La pandemia de Covid-19 obligó a las organizaciones a adoptar modelos de trabajo desde casa siempre que sea posible. Como consecuencia, a los empleados a menudo se les ha dado la opción de permanecer remotos o ser híbridos. Los investigadores de ciberseguridad, incluido el especialista senior en ciberseguridad, Numan Turle, han examinado el software en busca de posibles vulnerabilidades.

 

Cuando se envía un sticker a través de Teams, la plataforma la convierte en una imagen y carga el contenido como ‘RichText/HTML’ en el mensaje posterior.

Turle inspeccionó la solicitud HTML utilizando Burp Suite y probó los atributos típicos, pero fue en vano debido a las protecciones que ofrece la Política de seguridad de contenido (CSP) de Microsoft.

CSP está diseñado para mitigar una variedad de ataques web comunes, incluido XSS.

 

Sin embargo, después de conectar el CSP a la herramienta CSP Evaluator de google, el investigador encontró un defecto de CSP: el script-src se marcó como inseguro, lo que allanó el camino para posibles ataques de inyección de HTML contra múltiples dominios.

 

¿Cómo puedes protegerte al usar herramientas de videoconferencia y reunión?

No aceptes otros participantes. Activa la cámara y el micrófono cuando se inicie la reunión y desactívalos cuando no sea necesario su uso. Presta atención con la documentación que compartas. No debes compartir tu escritorio de forma predeterminada ya que esto puede provocar fugas de información.

 

Antes de iniciar la videoconferencia comprueba qué área es visible detrás de ti y qué información personal estás revelando.

 

Existen hoy en día muchos métodos para establecer conexiones seguras, escríbenos para más información.

 

Jorge Villa Gaviria

 

Fuente: https://noticiasseguridad.com/vulnerabilidades/la-vulnerabilidad-critica-xss-en-microsoft-teams-permite-robar-las-credenciales-usuarios-y-contrasenas-almacenadas-en-sus-navegadores-actualizar-inmediatamente/

También podría interesarte...