آسیب‌پذیری‌های آفیس ۳۶۵

به گزارش واحد امنیت سایبربان؛ این امکان را به مهاجم می‌دهد تا به‌تمامی حساب‌های کاربری و اطلاعات اعم از پیام‎های ایمیل و فایل‌های موجود در سرویس‌های مبتنی بر ابر دسترسی داشته باشد.

مایکروسافت در روز ۵ ژانویه، ۷ ساعت بعدازاینکه محققان یانیس کاکاواس و کلیمن براتک این آسیب‌پذیری‌ را به آن‌ها اطلاع دادند، این خطا را به نسبت کمتر کردند.

کاکاواس و براتک از طریق رایانامه به ThreatPost گفتند: «این حمله بسیار وسیع بوده است و یک مهاجم با سوء‎استفاده از این آسیب‎پذیری می‌تواند به اطلاعات بسیار حساس افراد و شرکت‌ها دست یابد (اطلاعاتی مثل رایانامه‌‌ها، اسناد داخلی و غیره)»

تعداد کاربران آفیس ۳۶۵ که در معرض خطر هستند بسیار زیاد و در سطح جهانی است  که می‌توان شرکت‌های خطوط هوایی انگلستان، مایکروسافت، وودافون، Verizon تا شرکت‌های بسیار دیگری که نامشان در فهرست این هفته آمده است را نام برد.

کاکاواس از شبکه فناوری و تحقیقات یونان و براتک از Maribor Sola Prihodnosti، آسیب‌پذیری موجود در پیاده‌سازی ارائه‌دهنده خدمات SAML در آفیس ۳۶۵ را کشف کردند.

این محققان در گزارش خود نوشتند: «این نقص باعث دور زدن فرآیند احراز هویت دامنه می‌شود و بدین ترتیب روی تمامی دامنه‌های وابسته به آن نیز اثر می‌گذارد.» SAML یک‌زبان نشانه‎گذاری اثبات امنیت است که سازمان‌ها برای تبادل اطلاعات احراز هویت و مجوز عبور از آن استفاده می‌کنند. از SAML اصولاً به‌عنوان راهی برای فعال کردن ورود یک مرحله‌ای بین دامنه‌های وب استفاده می‌شود.

مشکل پیاده‌سازی  SAML 2.0 در آفیس ۳۶۵ این است که این سرویس نمی‌تواند شخصی که می‌خواهد وارد دامنه شود را احراز اصالت کند. پس تبادل باید بر اساس مقادیر دیگری همچون ویژگی‎های IDPEmail صورت گیرد تا بتواند تبادل را اعتبارسنجی کند.

این دو محقق گفتند: «همان‌طور که معلوم است، ارائه‌دهنده‌ی خدمات از صادرکننده تأییدیه استفاده می‌کند تا فقط گواهی‎نامه مربوطه را به دست آورد و با استفاده از آن امضاء پاسخ/تأیید SAML را اعتبارسنجی کند. امّا بررسی دقیقی بر روی ویژگی IDPEmail و مقدار ارائه‌شده‌ی آن انجام نمی‎دهد. به‌طور خلاصه می‌توان گفت که تأییدیه‌ها را دارد هدر می‌دهد، تأییدیه‌هایی که ارائه‎دهنده‌ی شناسه X برای کاربران ارائه‎دهنده شناسه‌ی Y صادر کرده است.»

محققان جزئیات فنی این آسیب‎پذیری را در گزارششان آورده‌اند. آن‌ها به ThreatPost گفتند:  «سوءاستفاده کردن از این آسیب‎پذیری چندان مشکل نیست اما هیچ نشانه‌ای از اینکه این آسیب‎پذیری تا حالا به‌طور عمومی مورد سوءاستفاده قرارگرفته باشد وجود ندارد و مشخص نیست تا قبل از اینکه کشف شود چه مدت‌زمانی در آفیس ۳۶۵ بوده است.»

آن‌ها افزودند: «همه‌ی آنچه مهاجم برای حمله نیاز دارد یک حق اشتراک و دسترسی آزمایشی به آفیس ۳۶۵ و نصب ارائه‌دهنده‌ی شناسه SAML2.0 است. مهاجم حداقل باید دانش اندکی در مورد SAML داشته باشد، اما فرآیند نصب SAML SSO در آفیس ۳۶۵ بسیار آسان است و به‌خوبی در فایل‏های آموزشی توضیح داده‌شده است. یک مهاجم خبره‌تر که اطلاعات بیشتری در مورد SAML دارد، می‌تواند اسکریپتی بنویسد که بتواند بدون نیاز به یک ارائه‌دهنده شناسه SAML2.0 حمله را به‌صورت خودکار انجام دهد.»

محققان اظهار کردند که این نقص تنها محدود به ورود یک مرحله‌ای مبتنی بر SAML نیست؛ آن‌ها توانستند بر روی سرویس Active Directory Federation نیز چنین حملاتی انجام دهند.

محققان نوشتند: «حتی اگر دامنه Spmb.sl این‎گونه پیکربندی‌شده باشد که با WS-Trust همراه شود، ارائه‎دهنده خدمات SAML تأییدیه‌ی SAML مهاجم را مورداستفاده قرار می‎دهد که این تأییدیه به سرویس ترجمه‌ی مشخص‌شده‌ای ارسال‌شده و به یک علامت و رمز WS-Trust ترجمه می‎شود... و شرایطی پیش می‎آید که ما در چنین وضعیتی قرار می‎گیریم.»

آن‌ها به Threat Post  گفتند: «زمانی که متوجه شدیم سازمان‌هایی که دامنه‌هایشان با استفاده از WS-Trust و ADFS ایمن شده‌اند نیز در معرض خطر این آسیب‎پذیری هستند، شگفت‌زده شدیم. می‌دانیم تنها موسسه‌های علمی از SAML 2.0 SSo استفاده می‌کنند، پس تعداد سازمان‌های در معرض خطر نسبتاً کم به نظر می‌رسد.»

این دو محقق گفتند که مبلغ بسیاری برای این تحقیقشان از مایکروسافت جایزه گرفته‌اند؛ این پاداش بین ۵۰۰ تا ۱۵۰۰۰ دلار آمریکا است.