Hampir enam bulan Microsoft mengambil masa untuk membetulkan dua kelemahan yang telah menyebabkan data kami berisiko

Apabila kita bercakap tentang keselamatan pada komputer kita, kita sentiasa memikirkan penghala sebagai titik pertama yang perlu kita pantau. Kami bimbang tentang mengawal keselamatan dalam persekitaran kami tetapi apa yang berlaku apabila ia tidak bergantung kepada kami? Jika kegagalan itu diberikan oleh syarikat yang memberikan kami sedikit perkhidmatan, kami boleh buat.

Kami merujuk sekali lagi kepada keselamatan peralatan kami dan sekali lagi disebabkan kegagalan yang berasal dari syarikat besar. Jika baru-baru ini Google yang mengumumkan ralat yang telah meletakkan keselamatan berjuta-juta pengguna dalam risiko, kini Microsoft yang telah memaklumkan bahawa data pengguna Outlook, Microsoft Store… telah terdedah kepada kemungkinan serangan

Ralat dalam kejayaan domain.office.com mungkin telah menyebabkan pengguna Microsoft berisiko. Inilah yang ditemui oleh penyelidik Sahad Nk untuk Detektif Keselamatan, yang telah mendedahkan dua kelemahan yang menyebabkan segala-galanya daripada dokumen Pejabat kami ke e-mel Outlook terancam.

Nampaknya, ia mendapati bahawa domain yang disebutkan di atas tidak dikonfigurasikan dengan betul Pepijat yang membenarkan aplikasi web dikonfigurasikan daripada Azure yang menunjuk ke rekod CNAME domain, untuk memetakan alias domain dan subdomain ke domain utama. Ini membolehkannya mengawal sepenuhnya domain tersebut dan, di atas semua, dan yang paling penting, mempunyai akses kepada semua data yang dihantar.

"

Pada masa itu perlanggaran keselamatan kedua bergemaMemandangkan aplikasi Microsoft menghantar token log masuk yang disahkan ke subdomain http://success.office.com, pada masa pengguna log masuk dalam beberapa aplikasi, datanya telah dihantar ke pelayan Sahad. Dan semua ini tanpa disedari oleh pengguna."

Kini kita tahu tentang kewujudan kedua-dua kelemahan ini, yang telah diperbaiki oleh Microsoft Perkara yang membimbangkan ialah masa di mana bahawa ini kekal aktif, data mungkin berisiko. Ralat telah dimaklumkan pada bulan Jun dan telah diselesaikan pada bulan November, jadi ia telah aktif selama hampir 6 bulan.

Sumber | Detektif Keselamatan