Microsoft Teams 允许网络钓鱼漏洞，自3月至今未被修复-低调大师

Microsoft Teams 允许网络钓鱼漏洞，自3月至今未被修复

2021-12-23 573

51CTO社区编辑加盟指南，欢迎关注！

12月22日bleepingcomputer消息，自今年3月以来，就有报道称 Microsoft Teams 链接预览功能存在一些安全漏洞，但微软却表示不会修复或者推迟这些漏洞的修补计划。

这些安全漏洞由德国 IT 安全咨询公司 Positive Security 联合创始人 Fabian Bräunlein 发现，分别是服务器端请求伪造 (SSRF)漏洞、URL 预览欺骗漏洞、IP 地址泄漏 (Android) 漏洞和被称为死亡消息 (Android) 的拒绝服务 (DoS) 漏洞。

Bräunlein 向 Microsoft 安全响应中心 (MSRC) 报告了四个漏洞，该中心负责调查有关 Microsoft 产品及服务的漏洞报告。

“这些漏洞允许访问微软内部服务，欺骗链接预览，并且，对于Android用户来说，泄露他们的IP地址和破坏他们的Teams应用程序/渠道，”研究人员说。

在这四个漏洞中，微软只解决了IP 地址泄漏 (Android) 漏洞，对于其他漏洞，微软表示他们并未在当前版本中修复 SSRF，而 DoS 也是计划在未来版本中考虑修复。

使用户暴露于网络钓鱼的漏洞未被修补

至于URL预览欺骗漏洞，虽然被标记为不会对 Teams 用户构成任何危险，但威胁者可以利用该漏洞伪装成恶意链接，进行钓鱼攻击。

微软表示：“MSRC 调查了这个问题并得出结论，认为这不会构成直接威胁，不需要紧急关注。因为一旦用户点击 URL，他们将不得不转到那个恶意 URL，这将是一个免费的样品，用户能看到不是其想打开的链接应该不会上当。”

研究人员补充说：“虽然所发现的漏洞影响有限，但令人惊讶的是，如此简单的攻击载体以前似乎没有被测试过，而且微软没有意愿或资源来保护他们的用户免受其害。”

自 7 月以来，Teams 还使用 Defender for Office 365 安全链接保护，来保护用户免受基于 URL 的网络钓鱼攻击，这在一定程度上解释了该公司决定不解决可能在网络钓鱼活动中滥用的欺骗漏洞。

虽然安全链接保护对所有Teams用户都可用，并且适用于跨对话、群组聊天和Teams渠道共享的链接，但它仍然需要通过在Microsoft 365 Defender门户中设置安全链接策略来启用。

参考来源：

https://www.bleepingcomputer.com/news/security/microsoft-teams-bug-allowing-phishing-unpatched-since-march/

微信关注我们

原文链接：http://netsecurity.51cto.com/art/202112/696405.htm

转载内容版权归作者及来源网站所有！

低调大师中文资讯倾力打造互联网数据资讯、行业资源、电子商务、移动互联网、网络营销平台。持续更新报道IT业界、互联网、市场资讯、驱动更新,是最及时权威的产业资讯及硬件资讯报道平台。

51CTO社区编辑加盟指南，欢迎关注！ WOT全球技术创新大会2022，门票6折抢购中！购票立减2320元！--> 12月22日上午，一则阿里云被暂停其工信部网络安全威胁信息共享平台合作单位身份，为期6个月的消息，在网上疯传。据工业和信息化部网络安全管理局通报称，阿里云因在发现阿帕奇Log4j2组件重大安全漏洞后，未及时向电信主管部门报告，未有效支撑工信部开展网络安全威胁和漏洞管理。被暂停其工信部网络安全威胁信息共享平台合作单位身份，为期6个月。网络安全管理局表示，暂停期满后，根据阿里云公司整改情况，研究恢复其上述合作单位。自12月9日夜间Log4j 2漏洞发现以来，受到业内外的极大关注，一位网友表示，“以前不关注网络安全领域都对这一漏洞有所了解。” 一位安全专家表示:“从Log4j2漏洞披露以来，基本上震动全民，不管是安全从业者，还是安全爱好者抑或是做黑产、做勒索的黑客，基本上彻夜不眠，行动不断。" 众所周知，Apache Log4j是被全球广泛应用的组件，其漏洞影响范围波及全球堪比“永恒之蓝”漏洞，利用复杂度低，一旦利用成功，可能导致设备远程受控，进而引发敏感信息窃取、设备服...

2021-12-23

447

51CTO社区编辑加盟指南，欢迎关注！ WOT全球技术创新大会2022，门票6折抢购中！购票立减2320元！--> 12月22日，美国国土安全部(DHS)部长亚历杭德罗·N·马约卡斯 (Alejandro N. Mayorkas)发推文表示，为了应对最近发现的 log4j 漏洞，部门正在扩大Hack DHS漏洞赏金计划的范围，包括额外的激励措施，以发现和修补系统中与log4j有关的漏洞。上周，国土安全部推出了Hack DHS漏洞赏金计划，允许经过审查的网络安全研究人员发现和报告外部 DHS 系统中的漏洞，每个报告的错误可获得高达 5,000 美元的奖励。这一计划也允许经过审查的黑客参与，他们需要披露所发现的漏洞以及有关漏洞的详细信息、攻击者如何利用它以及如何使用它来访问来自 DHS 系统的信息。 DHS 会在48 小时内验证所有报告的安全漏洞，并在15天或更长时间内修复，这具体取决于漏洞的复杂性。此次Hack DHS的扩大计划源自上周五由美国网络安全和基础结构安全局(CISA)发出的紧急指令，该指令命令联邦民事行政部门机构在12月23日之前修补被积极利用的Log4Shell漏洞。...

2021-12-23

585

资源下载

更多资源

腾讯云软件源

为解决软件依赖安装时官方源访问速度慢的问题，腾讯云为一些软件搭建了缓存服务。您可以通过使用腾讯云软件源站来提升依赖包的安装速度。为了方便用户自由搭建服务架构，目前腾讯云软件源站支持公网访问和内网访问。

Nacos

Nacos /nɑ:kəʊs/ 是 Dynamic Naming and Configuration Service 的首字母简称，一个易于构建 AI Agent 应用的动态服务发现、配置管理和AI智能体管理平台。Nacos 致力于帮助您发现、配置和管理微服务及AI智能体应用。Nacos 提供了一组简单易用的特性集，帮助您快速实现动态服务发现、服务配置、服务元数据、流量管理。Nacos 帮助您更敏捷和容易地构建、交付和管理微服务平台。

Spring

Spring框架（Spring Framework）是由Rod Johnson于2002年提出的开源Java企业级应用框架，旨在通过使用JavaBean替代传统EJB实现方式降低企业级编程开发的复杂性。该框架基于简单性、可测试性和松耦合性设计理念，提供核心容器、应用上下文、数据访问集成等模块，支持整合Hibernate、Struts等第三方框架，其适用范围不仅限于服务器端开发，绝大多数Java应用均可从中受益。

Sublime Text

Sublime Text具有漂亮的用户界面和强大的功能，例如代码缩略图，Python的插件，代码段等。还可自定义键绑定，菜单和工具栏。Sublime Text 的主要功能包括：拼写检查，书签，完整的 Python API ， Goto 功能，即时项目切换，多选择，多窗口等等。Sublime Text 是一个跨平台的编辑器，同时支持Windows、Linux、Mac OS X等操作系统。