Rechercher
Contactez-nous Suivez-nous sur Twitter En francais English Language
 

De la Théorie à la pratique











Abonnez-vous gratuitement à notre NEWSLETTER

Newsletter FR

Newsletter EN

Vulnérabilités

Se désabonner

Tenable identifie une grave vulnérabilité dans Microsoft Teams susceptible d’exposer des conversations et des fichiers confidentiels

juin 2021 par Tenable

Tenable divulgue les détails d’une vulnérabilité grave affectant Microsoft Teams, découverte par [Evan Grant de] l’équipe Zero-Day Research. En détournant la fonctionnalité PowerApps (un produit distinct utilisé dans Teams pour créer et exécuter des applications professionnelles personnalisées), les acteurs de la menace peuvent obtenir un accès permanent en lecture et en écriture aux e-mails, aux discussions Teams, à OneDrive, à Sharepoint et à divers autres services de l’utilisateur cible, par l’intermédiaire d’un onglet Microsoft Teams malveillant et de flux Power Automate.

Selon Microsoft, Teams a atteint 145 millions d’utilisateurs actifs quotidiens en mars 2021, soit une hausse de 90 % au cours des 12 derniers mois. Cette croissance est en grande partie due à l’essor du travail à domicile et de l’apprentissage à distance, qui pousse de nombreuses organisations à utiliser des outils de communication et de collaboration basés sur le cloud.

« Malgré sa simplicité, cette vulnérabilité présente un risque important, car elle pourrait être exploitée pour lancer différentes attaques sur une multitude de services, exposant potentiellement des fichiers et des conversations sensibles, ou permettant à un attaquant de se faire passer pour d’autres utilisateurs et d’effectuer des actions en leur nom, explique Evan Grant, ingénieur de recherche chez Tenable. Face au nombre de tokens d’accès que cette vulnérabilité expose, il existe probablement d’autres attaques créatives et potentiellement graves qui n’ont pas été explorées dans notre preuve de concept (PoC). »

L’exploit de cette vulnérabilité est limité aux utilisateurs authentifiés au sein d’une organisation Teams qui ont la possibilité de créer des onglets Power Apps, ce qui signifie qu’elle ne peut pas être exploitée par un attaquant non autorisé/non authentifié. Cependant, l’autorisation de créer ces onglets est activée par défaut, si bien qu’un contractant tiers, un employé mécontent ou même un ex-employé dont l’accès n’a pas été révoqué pourrait lancer une attaque.

À l’heure actuelle, rien ne prouve que cette vulnérabilité a été exploitée dans la nature. Microsoft a apporté une solution à ce problème, sans que les utilisateurs finaux soient tenus de prendre d’autres mesures.




Voir les articles précédents

    

Voir les articles suivants