Microsoft Teams. Pokazali exploita na podatność 0day. Nagroda: ~800 000 PLN

Konkurs Zero Day Initiative się rozkręca, co dopiero pisaliśmy o grubej podatności 0day w Microsoft Exchange (ominięcie uwierzytelnienia, dostanie się na serwer), a tymczasem mamy kolejny efekt dość nietypowych zawodów:

Widoczny na zrzucie „Attempt 1”, oznacza że exploit działa bardzo sprawnie i do skutecznego zadziałania wystarczyła tylko jedna próba.

Jak czytamy tutaj, całość umożliwia wykonanie dowolnego polecenia na komputerze ofiary (prawdopodobnie np. poprzez wysłanie jej odpowiednio spreparowanej wiadomości).

Nagroda dla badaczy to $200 000.

Co robić? Na razie niewiele możemy (poza czekaniem na łatkę i pilnowaniem żeby łatka się wgrała). Pamiętajmy przy okazji, że mając odpowiedni budżet, można kupić dużego exploita prawie na wszystko…

–ms