Microsoft Teams auf Android: Sicherheitslücke ermöglicht Datenabgriff

Laut Microsoft-Warnung ermöglicht die Schwachstelle einem autorisierten Angreifer die Fernpreisgabe, ohne dass eine Benutzerinteraktion erforderlich ist. Die Schwachstelle weist einen CVSS 3.1 Basiswert von 8,1 (temporärer Wert: 7,1) auf, was ihr erhebliches Risiko widerspiegelt.

Der Angriffsvektor ist „Network" (AV:N), was bestätigt, dass die Sicherheitslücke über das Internet aus der Ferne ausgenutzt werden kann.

Mit einer Angriffscomplexität (AC:L) benötigt ein Angreifer kein vertieftes Wissen über das Zielsystem und kann mit einem speziell erstellten Payload eine wiederholbare erfolgreiche Ausnutzung des verwundbaren Komponenten erreichen.

Technischer Hintergrund

Microsoft bestätigte, dass eine erfolgreiche Ausnutzung es einem Angreifer ermöglichen könnte, kleine Abschnitte des Heap-Speichers auszulesen.

Obwohl der Umfang der offengelegten Daten begrenzt erscheinen mag, kann Heap-Speicher sensible Laufzeitinformationen enthalten, einschließlich Authentifizierungstoken, Sitzungsdaten oder zwischengespeicherter Anmeldeinformationen, wodurch bereits eine teilweise Offenlegung in Unternehmensumgebungen ein ernstes Problem darstellt.

Die CVSS-Metriken zeigen eine hohe Auswirkung auf Vertraulichkeit und Verfügbarkeit, jedoch keine Auswirkung auf Integrität. Die Metrik „Privileges Required" ist mit Low bewertet, was bedeutet, dass jeder authentisierte Benutzer, einschließlich Konten mit geringen Berechtigungen, die Verwundbarkeit potenziell auslösen könnte.

Sicherheitslage und Risiko

Die Ausnutzbarkeitseinschätzung als „Exploitation Less Likely" ein. Der Fehler wurde nicht öffentlich bekanntgegeben und wurde zum Zeitpunkt der Veröffentlichung noch nicht bei aktiver Ausnutzung beobachtet. Die Reife des Exploit-Codes wird als „Unproven" (nicht bewiesen) eingestuft, und eine offizielle Behebung ist bereits verfügbar.

Microsoft hat ein Sicherheitsupdate für Microsoft Teams für Android veröffentlicht, das über den Google Play Store erhältlich ist. Benutzer und Unternehmensadministratoren werden dringend aufgefordert, die Anwendung unverzüglich über die offizielle Microsoft Teams-Liste im Google Play Store zu aktualisieren.

Organisationen, die Teams für interne Kommunikationen nutzen, sollten dieses Update priorisieren, insbesondere angesichts der weit verbreiteten Nutzung der App für sensible geschäftliche Gespräche und den Dateiaustausch. Die Schwachstelle wurde durch Ofek Levin über das koordinierte Schwachstellenoffenlegungsprogramm.