 |
| THEhackeNEWS |
Un investigador de seguridad ha ganado $ 13.000 como recompensa de Microsoft por encontrar una falla crítica en su sistema principal de autenticación que podría permitir a los hackers el acceso a las cuentas de Outlook, Azure y Office de un usuario ajeno.
La vulnerabilidad ha sido descubierta por el consultor de seguridad en el
Reino Unido Jack Whitton y es similar a (Cross-Site Request Falsificación) OAuth
CSRF de Microsoft en Live.com descubierto por el investigador de seguridad
SynAck Wesley Wineberg.
Sin embargo, la principal y la única diferencia entre las vulnerabilidades es: Un error descubierto por Wineberg afecta mecanismo de protección de
OAuth de Microsoft, mientras que la descubierta por Whitton afectados sistema de
autenticación principal de Microsoft.
¿Cómo funciona la vulnerabilidad?
Si el usuario particular, ya ha iniciado sesión, una solicitud POST se hace
de nuevo al dominio especificado en Wreply con un valor que contiene un token de
inicio de sesión para el usuario. El servicio que el usuario desea autenticarse
en ese token consume y registra el usuario en.
De acuerdo con Whitton, la URL de autenticación proporcionado por Microsoft
es vulnerable a múltiples sitios de falsificación de petición ataques
(CSRF).
Los ataques CSRF podrían permitir a un atacante crear una URL maliciosa,
que, cuando se accede por un usuario ya autenticado, enviaría la señal de inicio
de sesión al servidor controlado por el atacante.
Ahora, con la ayuda de la clave, el atacante podría obtener acceso completo
a la cuenta de la víctima.
"El token es válida sólo para el servicio que lo haya expedido - un token de Outlook no se puede utilizar para Azure, por ejemplo," Whitton señaló en su blog. "Pero sería lo suficientemente simple para crear varios iframes ocultos, cada uno con la URL de inicio de sesión para establecer un servicio diferente, y la cosecha tokens de esa manera."
La buena noticia es que Microsoft corrigió la vulnerabilidad dentro de los
dos días después de Whitton lo reportó a la empresa el 24 de enero, la compañía
pagó $ 13,000 a la investigadora como parte de su programa de recompensas de
errores.