الوصف

عندما ينتقل المستخدم إلى تبويب "موقع ويب" يوجّه إلى صفحة ويب مصممة خصيصًا، فقد يؤدي ذلك إلى كشف تجزئة NTLM عبر تفعيل مخطط عنوان URL الخاص بـ Office، مما يقلص العملية إلى مسار بنقرة واحدة للتسريب.

إذا حاول أحدهم فتح رابط بالصيغة ms-word:ofv|u|file://Share/File.docx من المتصفح، فإن الخطوات التالية مطلوبة:

1- يجب على المستخدم تأكيد نيته في فتح Word.

2- يجب على المستخدم الإقرار بالمخاطر وقبولها كما تشير رسالة التحذير من MS Office.

ومع ذلك، في تبويب موقع الويب، يتم تبسيط إجراء المستخدم إلى مجرد قبول المخاطر.

خطوات إعادة الإنتاج

1. تشغيل Responder على جهاز "المهاجم"
2. استضافة صفحة HTML تحتوي على الكود أدناه: Auto Open Document
3. في Teams، أنشئ تبويب "موقع ويب" يوجّه إلى صفحة الويب التي أعددتها للتو.
4. الوصول إلى "التبويب".

عند زيارة التبويب، يقوم رابط مُفعّل عبر JavaScript تلقائيًا ببدء فتح Word. إذا وافق المستخدم على المطالبة في Word بالنقر على "نعم"، فسيتم إرسال تجزئة NTLM الخاصة به إلى جهاز "المهاجم".

عرض تجريبي

الإفصاح

يوم الأربعاء، 27 مارس 2024، 20:23 مركز استجابة أمان Microsoft <[email protected]mailto:[[email protected]](mailto:[email protected])> كتب:
مرحبًا،
شكرًا لك على تقديمك. لقد قررنا أن النتيجة التي وجدتها صحيحة لكنها لا تلبي معيارنا للصيانة الفورية لأن خطورة المشكلة منخفضة. أشار مهندسونا إلى أنه لا يزال يتعين على المستخدم الموافقة في Word أو عملاء Office آخرين قبل تسريب NTLM، مما يقلل من الخطورة. ومع ذلك، قمنا بوضع علامة على النتيجة التي وجدتها للمراجعة المستقبلية كفرصة لتحسين منتجاتنا، وكمسألة ميزة للتحسين. ليس لدي جدول زمني لهذه المراجعة. نظرًا لعدم الحاجة إلى أي إجراء إضافي في الوقت الحالي، سأغلق هذه الحالة.
مع التحيات،
MSRC

يبدو أنه تم إصلاحه في إصدار Microsoft Teams 24033.813.2773.520.