Brechas no Microsoft Teams e Office do macOS permitem até roubo de dados

Um relatório da Cisco Talos revelou a existência de uma série de vulnerabilidades em aplicativos da Microsoft para macOS. Vários serviços populares da empresa foram considerados inseguros devido a brechas que, na pior das hipóteses, garantem vários privilégios a cibercriminosos.

De acordo com o estudo, ferramentas como Microsoft Teams, OneDrive, Outlook, OneNote, Excel e até o Word poderiam ser invadidas. Na prática, o responsável chegaria a burlar permissões de segurança e ganhar privilégios que colocam o usuário em risco.

Ao todo, são oito vulnerabilidades diferentes no macOS, separadas pelo aplicativo ou ferramenta que contém a brecha:

  • CVE-2024-42220 — Outlook
  • CVE-2024-42004 — Teams
  • CVE-2024-39804 — PowerPoint
  • CVE-2024-41159 — OneNote
  • CVE-2024-43106 — Excel
  • CVE-2024-41165 — Word
  • CVE-2024-41145 — Webview.app do Teams
  • CVE-2024-41138 — modulehost.app do Teams

Todas as falhas são exploradas pela injeção de bibliotecas não autorizadas durante a execução desses programas. Elas exploram o Transparency, Consent and Control (TCC), um framework que centraliza várias das permissões de segurança dos apps da Microsoft.

O Teams é um dos apps vulneráveis

As consequências vão desde roubo de dados até permissões para uso de microfone e webcam, o que pode levar até a espionagem da rotina da vítima ou a coleta de segredos corporativos, por exemplo.

Microsoft discorda de urgência

A Cisco Talos não chegou a identificar a exploração ativa dessas brechas por cibercriminosos, mas classificou as oito vulnerabilidades como críticas.

Em resposta, a Microsoft atualizou os aplicativos do Teams e OneNote para macOS, corrigindo as falhas reveladas no estudo. Porém, ela discorda que essas brechas sejam tão graves ou urgentes — tanto que as demais vulnerabilidades permanecem sem um tratamento por parte da marca até o momento.

Segundo a companhia, os ataques envolveriam somente bibliotecas não oficiais usadas em plugins terceirizados, uma ação pouco comum nesses serviços. Já a Apple, que também poderia atualizar o framework, não se manifestou sobre o caso. O estudo completo pode ser conferido neste link (em inglês).

Deixe um comentário

O seu endereço de e-mail não será publicado. Campos obrigatórios são marcados com *