Dos fallos han dejado millones de cuentas Microsoft con seguridad cero

Software

Un error masivo en las cuentas de Microsoft ha dejado abierta la posibilidad de que un atacante se haga con el control completo de Microsoft Outlook, Microsoft Store y similares. Si usas estos servicios, que teniendo Windows 10 en tu ordenador es lo más probable que ocurra, este problema ha dejado expuesta todo tipo de información sobre ti. El problema, según han explicado investigadores dedicados a la seguridad informática, tiene que ver con la configuración del dominio success.office.com.

La compañía de Redmond tenía configurado el subdominio success.office.com apuntando hacia el servicio de Azure con el registro CNAME. Sahad NK, que es quien ha encontrado este grave problema de seguridad, probó a usar el registro CNAME en el servicio web de Azure para vincular el dominio de Office a un subdominio no configurado; la intención del investigador era que success.office.com pudiera estar controlado por un servidor suyo. Y efectivamente, consiguió que así fuera. De esta manera, cualquiera que hubiera encontrado la vulnerabilidad podría haber robado la cuenta de Microsoft a otro usuario, únicamente consiguiendo que hiciera clic en Iniciar sesión, con el login vinculado a un servidor alternativo.

Un grave fallo de seguridad ha permitido que robar cuentas de Microsoft sea realmente sencillo, como han podido demostrar

Utilizando una segunda vulnerabilidad, Sahad pudo ‘engañar’ a aplicaciones como la Store, Outlook o Sway para que se enviasen las credenciales de inicio de sesión directamente a su dominio recién creado. Así que, aunque ahora ha sido resuelto por Microsoft –afortunadamente para los usuarios-, un atacante podría haber creado un enlace de inicio de sesión que permite enviar los datos del usuario –su dirección de mail y su contraseña- a diferentes canales. Sin que la víctima tenga conocimiento de ello, y con una dificultad bastante baja a nivel técnico.

Al iniciar sesión a través del enlace, se crea un token de acceso para el inicio de sesión y el token pasa al subdominio creado. En definitiva, dos vulnerabilidades que, aprovechadas de forma conjunta, habrían permitido robar millones de cuentas de Microsoft sin demasiada dificultad y, sobre todo, sin que las víctimas pudieran tener conocimiento de ello. Como decíamos, Microsoft ya lo ha solucionado.

Escrito por Carlos González

Fuente > fossbytes

Continúa leyendo
  • Havelock Vetinari

    Pues si alguien consigue acceso a mi cuenta corporativa, a ver si le da por adelantarme algo de trabajo, que ando sobrado.
    Después, que aproveche a echar un vistazo al paquete de aplicaciones y ver que se puede hacer con la bazofia que suministra MS, porque desde que mi empresa dejó los servicios de Google voy de cabeza con ciertas cosas que no logro comprender cómo pueden estar tan mal hechas.

  • Pingback: Dos fallos han dejado millones de cuentas Microsoft al descubierto()

  • Lautaro

    No hace falta que hackeen, les regalamos las cuentas jajaja