Microsoft Teams Memiliki Beberapa Masalah Keamanan Yang Serius

Teknologi.id - Peneliti keamanan telah menemukan empat kerentanan terpisah di Microsoft Teams yang dapat dimanfaatkan oleh penyerang untuk memalsukan pratinjau tautan, membocorkan alamat IP, dan bahkan mengakses layanan internal raksasa perangkat lunak itu.

Penemuan ini dibuat oleh para peneliti di Positive Security yang "menemukan" mereka saat mencari cara untuk melewati Same-Origin-Policy (SOP) di Teams dan Electron menurut postingan terbaru Positive Security. Bagi mereka yang tidak terbiasa, SOP adalah mekanisme keamanan yang ditemukan di browser yang membantu menghentikan situs web agar tidak saling menyerang.

Selama penyelidikan mereka tentang masalah ini, para peneliti menemukan bahwa mereka dapat melewati SOP di Teams dengan menyalahgunakan fitur pratinjau tautan di perangkat lunak konferensi video Microsoft dengan mengizinkan klien membuat pratinjau tautan untuk halaman target dan kemudian menggunakan teks ringkasan atau Optical Character Recognition (OCR) pada gambar pratinjau untuk mengekstrak informasi.

Namun saat melakukan ini, salah satu pendiri Positive Security Fabian Bräunlein menemukan kerentanan lain yang tidak terkait dalam implementasi fitur tersebut.

Baca Juga: Anniversary ke-20 Xbox, Microsoft Rilis Sepatu Adidas

Kerentanan Microsoft Teams

Dari empat bug yang ditemukan Bräunlein di Teams, dua dapat digunakan pada perangkat apa pun dan memungkinkan pemalsuan permintaan sisi server atau server-side request forgery (SSRF) dan spoofing sementara dua lainnya hanya memengaruhi Smartphone Android dan dapat dieksploitasi untuk membocorkan alamat IP dan mencapai Denial of Service (DOS).

Dengan memanfaatkan kerentanan SSRF, para peneliti dapat membocorkan informasi dari jaringan lokal Microsoft. Sementara itu, bug spoofing dapat digunakan untuk meningkatkan efektivitas serangan phishing atau untuk menyembunyikan tautan berbahaya.

Bug DOS sangat mengkhawatirkan karena penyerang dapat mengirim pesan kepada pengguna yang menyertakan pratinjau tautan dengan target tautan pratinjau yang tidak valid (misalnya "boom" alih-alih "https://...") untuk membuat crash aplikasi Teams untuk Android. Sayangnya, aplikasi akan terus mogok saat mencoba membuka obrolan atau saluran dengan pesan berbahaya.

Positive Security secara bertanggung jawab mengungkapkan temuannya kepada Microsoft pada 10 Maret melalui program bug bounty-nya. Namun, sejak raksasa perangkat lunak itu hanya mengatasi kerentanan kebocoran alamat IP di Teams untuk Android. Sekarang setelah Positive Security secara terbuka mengungkapkan temuannya, Microsoft mungkin harus menambal tiga kerentanan yang tersisa meskipun mengatakan kepada para peneliti bahwa mereka tidak menimbulkan ancaman langsung bagi penggunanya.

Positive Security juga telah mengumpulkan perlindungan pencurian identitas terbaik, firewall terbaik, dan perangkat lunak penghapus malware terbaik.

Baca Juga: Tesla Menambahkan Dukungan TikTok Pada Pembaruan Sorftwarenya.

(MYAF)