Баг Microsoft делал уязвимыми все пользовательские аккаунты Office. Багхантеру уже заплатили

Ряд багов создавали возможность для лёгкого взлома любого аккаунта Microsoft при переходе пользователем по высланной хакерами ссылке, пишет TechCrunch.

Индийский исследователь безопасности Сахад Ынк обнаружил несколько ошибок конфигурации субдомена success.office.com, которые делали его уязвимым для хакеров. Любой частный или корпоративный аккаунт Office, включая переписку, документы и файлы, мог оказаться в руках злоумышленников, которых было бы почти невозможно распознать.

С помощью CNAME-записи — псевдонима для связи хоста с какой-либо функцией — специалист настроил субдомен на своё веб-приложение Azure и получил полный контроль над ним и любыми пересылаемыми на него данными.

Сама по себе уязвимость не представляла бы большой проблемы, если бы не другой баг. Приложения Microsoft Office, Store и Sway можно было заставить пересылать токены аутентификации на новый домен после того, как пользователь входил в аккаунт через систему Live. Это объясняется тем, что все уязвимые приложения «доверяли» любым доменам office.com, включая поддельные контролируемые субдомены.

После нажатия на внешне безобидную ссылку — полученную, например, по электронной почте, — пользователь авторизовывался в системе Microsoft, используя свои логин и пароль (или же двухфакторный код). Далее создавался токен для доступа к аккаунту, а пользователь постоянно оставался в системе без необходимости заново вводить пароль. Получив токены, хакеры могли бы беспрепятственно и не поднимая тревоги взламывать аккаунты своих жертв.

Microsoft уже исправила уязвимость и выплатила вознаграждение исследователю безопасности.