Un error de ejecución remota de código (RCE) permite, sin hacer clic, en las aplicaciones de escritorio de Microsoft Teams, a un adversario ejecutar código arbitrario simplemente enviando un mensaje de chat especialmente diseñado y comprometiendo el sistema de un objetivo. El error es multiplataforma, lo que afecta a Microsoft Teams para Windows (v1.3.00.21759), Linux (v1.3.00.16851), macOS (v1.3.00.23764) y la web (teams.microsoft.com) - y podría hacerse em forma de gusano para propagarse. Microsoft lo califica como "Importante Spoofing", una de las calificaciones más bajas posibles sin asignar un CVE.

Los problemas fueron informados al fabricante de Windows por Oskars Vegeris, un ingeniero de seguridad de Evolution Gaming, el 31 de agosto de 2020, antes de que se abordaran a fines de octubre.

Microsoft no asignó un CVE a esta vulnerabilidad, indicando que "actualmente es política de Microsoft no emitir CVE en productos que se actualizan automáticamente sin la interacción del usuario".

"No se requiere interacción del usuario, el exploit se ejecuta al ver el mensaje de chat", explicó Vegeris en un informe técnico. El resultado es una "pérdida total de confidencialidad e integridad para los usuarios finales: acceso a chats privados, archivos, red interna, claves privadas y datos personales fuera de MS Teams", agregó el investigador.

• https://github.com/oskarsve/ms-teams-rce/blob/main/README.md

Peor aún, el RCE es multiplataforma, lo que afecta a Microsoft Teams para Windows (v1.3.00.21759), Linux (v1.3.00.16851), macOS (v1.3.00.23764) y la web (teams.microsoft.com) - y podría hacerse gusano, lo que significa que podría propagarse al volver a enviar automáticamente la carga útil maliciosa a otros canales. Esto también significa que el exploit se puede pasar de una cuenta a un grupo completo de usuarios, comprometiendo así un canal completo.

Para lograr esto, la cadena de exploits une una falla de scripting entre sitios (XSS) presente en la funcionalidad de @mentions de Teams y una carga útil de RCE basada en JavaScript para publicar un mensaje de chat de apariencia inofensiva que contiene una mención de usuario en el formulario de un mensaje directo o de un canal.

• https://support.microsoft.com/en-us/office/get-attention-with-mentions-b2ffb135-7069-4880-84ee-5b27f402418b

Simplemente visitar el chat en el extremo del destinatario conduce a la ejecución de la carga útil, lo que permite que se explote para registrar los tokens SSO de los usuarios en el almacenamiento local para su exfiltración y ejecutar cualquier comando que elija el atacante.

Demo:

Esta no es la primera vez que se observan tales fallas de RCE en Teams y otras aplicaciones de mensajería centradas en la empresa.

La principal de ellas es una vulnerabilidad RCE separada en Microsoft Teams (CVE-2020-17091) que la compañía parcheó como parte de su parche de noviembre de 2020 el martes del mes pasado.

A principios de agosto, Vegeris también reveló una falla crítica "wormable" en la versión de escritorio de Slack que podría haber permitido que un atacante se apoderara del sistema simplemente enviando un archivo malicioso a otro usuario de Slack.

Luego, en septiembre, el fabricante de equipos de red Cisco corrigió una falla similar en su aplicación de mensajería y videoconferencia Jabber para Windows que, si se explota, podría permitir que un atacante remoto autenticado ejecute código arbitrario.

• https://watchcom.no/nyheter/nyhetsarkiv/uncovers-cisco-jabber-vulnerabilities/

Fuentes:

https://thehackernews.com/2020/12/zero-click-wormable-rce-vulnerability.html