Microsoft Teams: Manipuliertes GIF hätte Account-Verlust ermöglicht

Die Entwickler Microsofts mussten kurzfristig einen gravierenden Bug in der Kommunikationsplattform Teams beheben, der ein enormes Risiko für die Nutzer darstellte. Ganze Account-Sammlungen hätten hier übernommen werden können. Wie die Sicherheitsforscher von CyberArk mitteilten, hätte ein Angreifer im Grunde nur ein manipuliertes GIF-Bild im Chat absetzen müssen. Anschließend wäre es ihm möglich gewesen, Daten der Nutzer abzugreifen, die das Bild angezeigt bekamen. Das ging bis hin zu der Option, dass der komplette Account übernommen werden konnte, wie aus einem Bericht des US-Magazons ZDNet hervorgeht.

Ein solches Problem hätte massive Folgen für Unternehmen nach sich ziehen können, die Teams als Kommunikations-Plattform für ganze Belegschaften verwenden. Angreifer hätten hier Zugang zu allem bekommen können, worüber die Mitarbeiter sich untereinander austauschen. Für Microsoft, das Teams vor allem als Tool für Business-Kunden etablieren will, hätte dies einen enormen Vertrauensverlust nach sich ziehen können.

Problem ist behoben

Die Schwachstelle war nicht beliebig wirksam, sondern hätte vorausgesetzt, dass der Angreifer sich auch Zugang zu einer Subdomain Microsofts verschaffen kann. Ausgerechnet das ist aber nicht gerade unwahrscheinlich. Es gab in der Vergangenheit mehrfach Fälle, in denen die Redmonder die Subdomains hinter Microsoft.com nicht besonders gut unter Kontrolle hatten. Über Cookies, die als Zugangstokens für verschiedene Subdomains dienten, konnten hier nun Daten abgegriffen werden.

Microsoft hat das Problem inzwischen behoben. Das war relativ effektiv möglich, da die Dienste auf der Server-Seite betroffen waren. Das führte allerdings auch dazu, dass im Zweifel Nutzer der Teams-App wie auch des Web-Zugangs betroffen gewesen wären. CyberArk teilte seine Erkenntnisse mit dem Microsoft Security Response Center (MSRC) , so dass schnell reagiert werden konnte und keine realen Angriffe über die Schwachstelle bekannt wurden.

Siehe auch: