Près de six mois, il a fallu à Microsoft pour corriger deux vulnérabilités qui ont mis nos données en danger

Lorsque nous parlons de sécurité sur nos ordinateurs, nous pensons toujours au routeur comme le premier point à surveiller. Nos preocupamos de controlar la seguridad en nuestro entorno pero ¿qué ocurre cuando esta no depende de nosotros? Si el fallo viene dado por las empresas que nos prestan sus servicios poco nous pouvons faire.

Nous nous référons à nouveau à la sécurité de nos équipements et à nouveau en raison d'une défaillance provenant de grandes entreprises. Si récemment c'était Google qui annonçait une erreur qui avait mis en danger la sécurité de millions d'utilisateurs, c'est maintenant Microsoft qui a communiqué que les données des utilisateurs d'Outlook, Microsoft Store… ont été exposées à d'éventuelles attaques

Une erreur dans le domaine success.office.com peut avoir mis les utilisateurs de Microsoft en danger. C'est ce qu'a découvert le chercheur Sahad Nk pour Safety Detective, qui a mis en lumière deux vulnérabilités qui ont menacé tout, de nos documents Office aux e-mails Outlook.

Apparemment, il a découvert que le domaine susmentionné n'était pas configuré correctement Un bogue qui permettait à une application Web d'être configurée à partir d'Azure pointant vers l'enregistrement CNAME du domaine, pour mapper les alias de domaine et les sous-domaines au domaine principal. Cela lui a permis de prendre le contrôle total du domaine et surtout, et ce qui est le plus important, d'avoir accès à toutes les données qui ont été envoyées.

"

À ce moment-là une deuxième faille de sécurité a été signalée en échoÉtant donné que les applications Microsoft envoient des jetons de connexion authentifiés au sous-domaine http://success.office.com, au moment où un utilisateur était connecté à une application, ses données a été envoyé au serveur de Sahad. Et tout cela à l&39;insu des utilisateurs."

Nous connaissons désormais l'existence de ces deux vulnérabilités, qui ont déjà été corrigées par Microsoft Ce qui est inquiétant, c'est le temps pendant lequel que ceux-ci sont restés actifs, les données peuvent avoir été à risque. Les erreurs ont été communiquées en juin et ont été résolues en novembre, elles sont donc actives depuis près de 6 mois.

Source | Détective de sécurité