Siga o Olhar Digital no Google Discover
A Microsoft corrigiu uma vulnerabilidade em seu sistema de login que, segundo os pesquisadores de segurança cibernética CyberArk, poderia ter sido usado para induzir usuário a darem acesso total as suas contas online. A brecha seria capaz de desviar alguns tokens da conta para acessá-las sem gerar desconfiança.
Ofertas
Por: R$ 27,81
Por: R$ 50,10
Por: R$ 67,95
Por: R$ 10,90
Por: R$ 2.069,90
Por: R$ 56,60
Por: R$ 75,85
Por: R$ 334,32
Por: R$ 23,83
Por: R$ 140,00
Por: R$ 178,49
Por: R$ 198,99
Por: R$ 3.999,00
Por: R$ 160,65
Por: R$ 187,00
Por: R$ 209,90
Por: R$ 166,19
Por: R$ 330,00
O bug permitia que os invasores roubassem discretamente os tokens da conta, usados para conceder aos usuários acesso a suas páginas sem exigir que eles digitassem constantemente suas senhas. Esses tokens são criados por um aplicativo ou site no lugar de um nome de usuário e senha após o login de um cliente, mantendo-o persistentemente conectado ao site e permitindo o acesso a aplicativos e endereços de terceiros sem precisar digitar as credenciais.
Foram encontrados dezenas de subdomínios não registrados conectados a um punhado de aplicativos da Microsoft. Estes programas internos são confiáveis e, como tal, subdomínios associados podem ser usados para gerar tokens de acesso automaticamente, sem a necessidade de consentimento explícito do usuário.
Com o subdomínio em mãos, tudo o que um invasor precisaria é se utilizar da engenharia social, induzindo a vítima a clicar em algum link malicioso criado em um e-mail ou site. Os pesquisadores explicam que em alguns casos isso poderia ser feito de forma “zero cliques”, ou seja, com praticamente nenhuma interação do usuário.
Felizmente, os pesquisadores registraram o maior número de subdomínios que puderam encontrar nos aplicativos vulneráveis da Microsoft para evitar qualquer uso malicioso indevido, mas alertaram sobre a possibilidade de haver mais.
A falha de segurança foi relatada para a empresa no final de outubro e corrigida três semanas depois. “Resolvemos o problema com os aplicativos mencionados neste relatório em novembro e os clientes permanecem protegidos”, afirmou um porta-voz da Microsoft.
Não é a primeira vez que a empresa de tecnologia necessita corrigir o bug em seus sistemas de login. Quase exatamente um ano atrás, a gigante de software e serviços corrigiu uma vulnerabilidade semelhante, na qual os pesquisadores tinham permissão para alterar os registros de um subdomínio da Microsoft configurado incorretamente e roubar tokens de contas do Office.
Via: TechCrunch
Tags: