Microsoft Teams dính lỗ hổng bảo mật nghiêm trọng

Mới đây, công ty nghiên cứu an ninh mạng Vectra có trụ sở tại California (Mỹ) đã phát hiện ra lỗ hổng nghiêm trọng tiềm ẩn trong phiên bản Microsoft Teams dành cho máy tính. Trong đó mã thông báo xác thực được lưu trữ dưới dạng văn bản thuần túy, khiến chúng dễ bị bên thứ ba tấn công. Sự cố ảnh hưởng đến ứng dụng Teams dựa trên framework Electron, ảnh hưởng đến người dùng Windows, macOS và Linux.

Vectra nói rằng, về mặt lý thuyết, những thông tin xác thực này có thể bị đánh cắp bởi kẻ tấn công có quyền truy cập hệ thống cục bộ hoặc từ xa. Microsoft đã biết về lỗ hổng này, nhưng dường như công ty không hề quan tâm đến việc sửa chữa.

Phiên bản Microsoft Teams cho máy tính bàn có thể gặp lỗi bảo mật.

Vectra nói rằng, một khi tin tặc có đủ quyền truy cập cần thiết, họ có thể ăn cắp dữ liệu người dùng hoặc giả mạo danh tính. Danh tính này có thể được sử dụng để đăng nhập vào Outlook hoặc Skype, bỏ qua các yêu cầu xác thực đa yếu tố (MFA).

Vectra khuyến nghị người dùng nên ngừng sử dụng phần mềm Microsoft Teams dành cho máy tính cho đến khi có bản sửa lỗi hoặc cách khác. Thay vào đó, có thể sử dụng ứng dụng Teams trên web. “Tai hại hơn, những kẻ tấn công có thể làm xáo trộn các thông tin liên lạc hợp pháp trong một tổ chức bằng cách phá hủy, xóa bỏ có chọn lọc hoặc tham gia vào các cuộc tấn công lừa đảo có chủ đích”, Connor Pe People's, chuyên gia bảo mật tại Vectra cho biết.

Ông lưu ý rằng, lỗ hổng cụ thể này chỉ tồn tại trên phiên bản Teams dành cho máy tính để bàn do thiếu “các biện pháp kiểm soát bảo mật bổ sung để bảo vệ dữ liệu cookie”, không giống những phiên bản hiện đại khác. Microsoft nói rằng lỗ hổng không đáp ứng yêu cầu của chúng tôi để sửa chữa ngay lập tức vì nó yêu cầu kẻ tấn công trước tiên phải có quyền truy cập vào mạng mục tiêu. Tuy nhiên, công ty không loại trừ khả năng bản sửa lỗi sẽ được tung ra trong tương lai.

Bảo Linh