В Microsoft Teams нашли опасные уязвимости

В популярном в России сервисе видеоконференций Microsoft Teams нашли четыре уязвимости. Их могут использовать для фишинговых атак и кражи IP-адресов. Эксперты по кибербезопасности заверяют, что уведомили Microsoft о проблеме еще в марте, однако до сих пор закрыта только одна брешь.

Группа кибербезопасности из Германии Positive Security обнародовала четыре уязвимости Microsoft Teams. Все они связаны с функцией превью ссылки, отправленной в виде сообщения. Однако самую большую угрозу представляет возможность подменить ссылку и, например, увести пользователя на фишинговый сайт или скрыть вредоносную ссылку. 

Из-за недостаточной защищенности приложения Teams для Android отправка специально созданного превью позволяет злоумышленникам получить доступ к IP-адресу и другим данным пользователя. 

Из сообщения Positive Security следует, что разработчика уведомили об уязвимостях еще в марте, пишет «Коммерсант». Однако Microsoft неверно оценил масштаб проблемы — с тех пор он устранил только одну уязвимость. Более того, корпорация недоплатила за обнаружение одной критической уязвимости. Компания выплатила аналитикам только 10% от суммы вознаграждения по программе поиска уязвимостей — пять тысяч долларов вместо 50 тысяч. 

В Microsoft изданию сообщили, что изучили все четыре уязвимости. В компании заверили, что они не представляют непосредственной угрозы. Изменения блокируют воспроизведение некоторых из этих уязвимостей, в том числе утечку IP-адресов на Android. 

Microsoft Teams — четвертая по популярности платформа среди мессенджеров и пятая среди сервисов видеоконференций у российских корпоративных пользователей по оценке TrueConf. Она считается более защищенной как корпоративный продукт, чем лидирующие WhatsApp или Zoom. По данным TAdviser, с 2005-го до ноября 2021 года Microsoft также занимает четвертое место по популярности среди вендоров систем видео-конференц-связи. На российском рынке корпорация реализовала 140 проектов.