Um relatório da Cisco Talos revelou a existência de uma série de vulnerabilidades em aplicativos da Microsoft para macOS. Vários serviços populares da empresa foram considerados inseguros devido a brechas que, na pior das hipóteses, garantem vários privilégios a cibercriminosos.
De acordo com o estudo, ferramentas como Microsoft Teams, OneDrive, Outlook, OneNote, Excel e até o Word poderiam ser invadidas. Na prática, o responsável chegaria a burlar permissões de segurança e ganhar privilégios que colocam o usuário em risco.
Ao todo, são oito vulnerabilidades diferentes no macOS, separadas pelo aplicativo ou ferramenta que contém a brecha:
- CVE-2024-42220 — Outlook
- CVE-2024-42004 — Teams
- CVE-2024-39804 — PowerPoint
- CVE-2024-41159 — OneNote
- CVE-2024-43106 — Excel
- CVE-2024-41165 — Word
- CVE-2024-41145 — Webview.app do Teams
- CVE-2024-41138 — modulehost.app do Teams
Todas as falhas são exploradas pela injeção de bibliotecas não autorizadas durante a execução desses programas. Elas exploram o Transparency, Consent and Control (TCC), um framework que centraliza várias das permissões de segurança dos apps da Microsoft.
O Teams é um dos apps vulneráveis
As consequências vão desde roubo de dados até permissões para uso de microfone e webcam, o que pode levar até a espionagem da rotina da vítima ou a coleta de segredos corporativos, por exemplo.
Microsoft discorda de urgência
A Cisco Talos não chegou a identificar a exploração ativa dessas brechas por cibercriminosos, mas classificou as oito vulnerabilidades como críticas.
Em resposta, a Microsoft atualizou os aplicativos do Teams e OneNote para macOS, corrigindo as falhas reveladas no estudo. Porém, ela discorda que essas brechas sejam tão graves ou urgentes — tanto que as demais vulnerabilidades permanecem sem um tratamento por parte da marca até o momento.
Segundo a companhia, os ataques envolveriam somente bibliotecas não oficiais usadas em plugins terceirizados, uma ação pouco comum nesses serviços. Já a Apple, que também poderia atualizar o framework, não se manifestou sobre o caso. O estudo completo pode ser conferido neste link (em inglês).