Stosunkowo niedawno ujawniono informację o zaszłej podatności, która dotknęła praktycznie wszystkich użytkowników kont Microsoft. Chodzi tu o konta Microsoft Outlook, Microsoft Store oraz Microsoft Sway. Możliwe było przechwycenie tokenu uwierzytelniającego, tylko poprzez kliknięcie przez użytkownika na link, który przekierowywał do strony logowania.
Niejaki Sahad Nk współpracując z firmą Safety Detective zajmującą się bug bounty wykryli tę podatność. Informują oni, że luki zostały zgłoszone do Microsoft w czerwcu, a załatane pod koniec listopada 2018 roku.
Całość problemu opierała się na dwóch ważnych aspektach, do których Microsoft nie powinien dopuścić ze względów bezpieczeństwa:
- Subdomena success.office.com wskazywała na usługę Microsoft Azure Web App ze pomocą wartości pola CNAME. Po szybkiej weryfikacji okazało się, że aplikacja już nie działa, a subdomena jest wolna. Pozwoliło to na zarejestrowanie aplikacji webowej w portalu Azure oraz wskazanie rekordu CNAME witryny success.office.com na tą właśnie aplikację. Dzięki temu właściciel aplikacji mógł kontrolować subdomenę i widział przychodzące do niej połączenia.
- Witryny Microsoft Outlook, Store oraz Sway pozwalały używać adresu https://success.office.com jako „wreply URL”, w celu sprawdzenia tokenu użytkownika po udanym zalogowaniu do centralnego systemu logowania login.live.com. Tak działa metoda OAuth, która pozwala na dzielenie poświadczeń użytkownika na wielu systemach. Niestety, prawdopodobnie błędem było wpisanie w tym polu wartości *.office.com, co uznaje wszystkie subdomeny office.com za zaufane i pozwala wysyłać do nich token usera.
To pozwoliło na przeprowadzenie testorom następującego scenariusza:
Użytkownik Microsoft w celu zalogowania się, np. do poczty, klikał w spreparowany link, który otwierał stronę login.live.com. Po poprawnym uwierzytelnieniu token użytkownika wysyłany był na domenę success.office.com, która kontrolowana była przez stronę trzecią. Mając token można zalogować się na konto ofiary bez posiadania loginu oraz hasła.
Na pocieszenie dodajemy, że podatność została naprawiona i nasze konta MS są już „bezpieczne” 🙂
Szczegóły pod linkiem: https://www.safetydetective.com/blog/microsoft-outlook/