BHack: Não é uma vulnerabilidade, só que é sim e posso provar

Somente com persistência, Igor Souza conseguiu convencer a Microsoft de uma vulnerabilidade, e até conseguir uma CVE por parte deles. Mas isso exigiu trabalho e insistência, pois, num primeiro momento, a fabricante não reconhecia a vulnerabilidade.

Tudo começou ao analisar o tráfego dos cards no Microsoft Teams. Igor percebeu que ao capturar uma requisição, era possível alterar os dados do card, e com isso colocar textso maliciosos e até mesmo links ali dentro. “Eu reportei a eles, mas eles falaram que como era um card adaptativo, aquilo não era vulnerabilidade. Eu dei uma pesquisada, e na própria documentação da Microsoft falava que possivelmente alguns bots poderiam vir com conteúdo malicioso, só que todos os bots estavam vulneráveis”, relata. 

Igor continuou testando a vulnerabilidade, e notou que conseguia alterar todos os cards bots. E com o tempo notou que não precisava só usar o HTTP ou HTTPS. “Eu conseguia usar outras URI, tipo talk:qq, aquele mesmo da Microsoft que dá o blackscreen, e quando eu enviava para uma pessoa, já executava direto, sem pedir permissão”.

Ao reportar novamente, a Microsoft aceitou como vulnerabilidade dessa vez, por ele conseguir executar códigos em outras máquinas. A partir desse aceite, o próximo passo foi testar em outros sistemas operacionais, como o macOS e Linux, onde testou no ambiente gráfico XFCE.

“Só no XFCE quando eu clicava com URI com FTP, além de eu conseguir conectar no FTP, parecia que eu estava executando um ícone normal, com interface gráfica, no XFCE. Aí eu coloquei um ponto desktop no meu servidor FTP e cliquei lá, e enviei. Se eu não tivesse conectado no meu FTP, no meu primeiro clique eu ia conectar direto, e já no segundo clique ele ia executar o .desktop sem perguntar”, relatou. 

Com essa detecção, houve um novo report, em que eles verificaram que estava faltando uma checagem para não executar .desktop via FTP, só localmente, o que rendeu uma CVE.

A exploração não parou por aí! Nos highligths em @mentebinaria_, Igor conta sobre a experiência com outras vulnerabilidades! l33t!