Позволяющий захватить аккаунты Microsoft баг затрагивал 400 млн юзеров

Позволяющий захватить аккаунты Microsoft баг затрагивал 400 млн юзеров

Цепочка уязвимостей позволяет атакующему получить контроль над аккаунтами Microsoft Outlook, Microsoft Store и Microsoft Sway. Для удачной эксплуатации этих брешей пользователя достаточно заставить пройти по ссылке.

О проблеме сообщил исследователь в области безопасности из Индии, работающий в компании SafetyDetective, Сахад Нк. Благодаря эксперту об уязвимостях Microsoft узнала в июне этого года. А в конце ноября корпорация устранила их.

На данный момент PoC-код готов только для аккаунтов Microsoft Outlook и Microsoft Sway, однако есть основания полагать, что бреши затрагивают все аккаунты Microsoft, включая Microsoft Store.

Исследователь обнаружил, что субдомен success.office.com своей записью CNAME указывал на сервис Microsoft Azure Web App. В ходе стандартной проверки эксперт выяснил, что приложение более недоступно, что позволило получить контроль над поддоменом за счет регистрации веб-приложения Azure с именем successcenter-msprod.

Запись CNAME поддомена success.office.com указывала на msprod.azurewebsites.net. Это была первая из проблем.

Вторая заключалась в некорректной проверке OAuth — она позволила экспертам отправить токены на домен, который уже находился под их контролем. Следовательно, налицо утечка токенов.

На деле это значило, что атакующий может обойти OAuth и получить валидный токен — если жертву удалось бы заставить перейти по определенной ссылке, злоумышленник бы получил контроль над ее учетной записью.

Anti-Malware TelegramПодписывайтесь на канал "Anti-Malware" в Telegram, чтобы первыми узнавать о новостях и наших эксклюзивных материалах по информационной безопасности.

Билл Гейтс рассказал о ключевых отличиях Илона Маска и Стива Джобса

На днях Билл Гейтс дал интервью изданию Bloomberg. Помимо прочего, один из создателей Microsoft сравнил Стива Джобса, которого считают главным идейным вдохновителем Apple, и Илона Маска, одного из главных современных новаторов.

Bloomberg спросил Гейтса, можно ли сегодняшнего Илона Маска расценивать как «следующего Стива Джобса», учитывая прорыв его компаний Tesla и SpaceX по части создания электромобилей и многократного использования ракет.

«Есть некоторые ключевые отличия в способе управления Джобса и Маска. Илон — больше практический инженер, Стив — гений дизайна и маркетинга. Кроме того, Джобс очень хорошо умел мотивировать людей», — ответил американский предприниматель и филантроп.

«Другими словами, войдя в одну комнату с ними, вы не перепутаете Маска и Джобса».

Стоит признать, что Гейтс дал очень точную характеристику Илону Маску, поскольку последний, например, в 2017 году проводил всё время на фабрике Tesla. Даже спал на полу и не всегда успевал помыться, чтобы успеть с разработкой Tesla 3.

Что касается Стива Джобса, о его обаянии и силе убеждения рассказывал ещё нынешний глава Apple Тим Кук. В 1998 году Джобс уговорил Кука присоединиться с техногиганту, хотя Тим до последнего сомневался.

Anti-Malware TelegramПодписывайтесь на канал "Anti-Malware" в Telegram, чтобы первыми узнавать о новостях и наших эксклюзивных материалах по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru