Prawie sześć miesięcy zajęło firmie Microsoft naprawienie dwóch luk w zabezpieczeniach, które zagrażały naszym danym

Kiedy mówimy o bezpieczeństwie naszych komputerów, zawsze myślimy o routerze jako o pierwszym punkcie, który powinniśmy monitorować. Martwimy się o kontrolowanie bezpieczeństwa w naszym środowisku, ale co się dzieje, gdy to nie zależy od nas? Jeśli awaria jest spowodowana przez firmy, które dostarczają nam niewiele usług, potrafi.

Znowu odnosimy się do bezpieczeństwa naszego sprzętu i ponownie z powodu awarii powstałej w dużych firmach. Jeśli niedawno to Google ogłosił błąd, który zagroził bezpieczeństwu milionów użytkowników, teraz to Microsoft poinformował, że dane użytkowników Outlooka, Microsoft Store… zostały ujawnione do możliwych ataków

Błąd w domenie success.office.com mógł narazić użytkowników firmy Microsoft na niebezpieczeństwo. Właśnie to odkrył badacz Sahad Nk z firmy Safety Detective, który ujawnił dwie luki w zabezpieczeniach, które spowodowały zagrożenie dla wszystkiego, od dokumentów pakietu Office po wiadomości e-mail programu Outlook.

Najwyraźniej wykrył, że wspomniana domena nie została poprawnie skonfigurowana Błąd, który umożliwiał skonfigurowanie aplikacji internetowej z platformy Azure wskazującej na rekord CNAME domeny, aby odwzorować aliasy domen i subdomeny na domenę główną. Pozwoliło mu to przejąć pełną kontrolę nad domeną, a przede wszystkim, co najważniejsze, mieć dostęp do wszystkich przesyłanych danych.

"

W tym czasie poinformowano o drugim naruszeniu bezpieczeństwaPonieważ aplikacje firmy Microsoft wysyłają uwierzytelnione tokeny logowania do subdomeny http://success.office.com, w momencie, gdy użytkownik był zalogowany w jakiejś aplikacji, jego dane został wysłany na serwer Sahada. A wszystko to bez wiedzy użytkowników."

Wiemy już o istnieniu tych dwóch luk, które zostały już naprawione przez firmę Microsoft Niepokojący jest czas, w którym że pozostały one aktywne, dane mogły być zagrożone. Błędy zostały zgłoszone w czerwcu i zostały usunięte w listopadzie, więc są aktywne od prawie 6 miesięcy.

Źródło | Detektyw bezpieczeństwa