Microsoft Teams позволяет загружать и выполнять вредоносные файлы

Текущая реализация механизма обновления в приложении для настольных компьютеров Microsoft Teams позволяет загружать на систему и выполнять произвольные файлы. Проблема также затрагивает десктопное ПО GitHub, WhatApp и UiPath, но позволяет только загружать полезную нагрузку.

Для управления процессами инсталляции и обновления вышеперечисленные приложения используют проект с открытым исходным кодом Squirrel, который в свою очередь использует менеджер пакетов NuGet для загрузки необходимых файлов. Как обнаружили исследователи безопасности, с помощью команды 'update' в уязвимых приложениях можно загрузить и выполнить код в контексте текущего пользователя. То же самое касается 'squirrel.exe'.

В случае с Microsoft Teams полезная нагрузка добавляется в папку приложения и выполняется автоматически с помощью команд Update.exe --update [url to payload] или squirrel.exe --update [url to payload]. Данные команды можно использовать с другим аргументом, в том числе 'download', позволяющим извлекать удаленную полезную нагрузку в виде пакета NuGet. Способ работает также для 'squirrel.exe', являющегося частью установочного пакета Microsoft Teams.

Исследователь безопасности Риган Ричард (Reegun Richard) уведомил Microsoft о проблеме 4 июня нынешнего года. В настоящее время десктопное приложение Microsoft Teams по-прежнему уязвимо, поскольку исправление появится только в будущих релизах. До выхода патча Ричард не будет раскрывать подробности о проблеме. Тем не менее, исследователь из RingZer0 Team под псевдонимом Mr. Un1k0d3r также обнаружил проблему и опубликовал подробности.