CVE-2024-41138: Fejl i Microsoft Teams til macOS
Sårbarhed i Microsoft Teams til macOS lader skadelig kode på maskinen misbruge Teams’ rettigheder. Opdatér Teams til nyeste version.
Hvad er det?
CVE-2024-41138 er en fejl i hjælpeprogrammet com.microsoft.teams2.modulehost.app, som er en del af Microsoft Teams (arbejde eller skole) til macOS. Fejlen kaldes library injection: et program på maskinen kan narre Teams til at indlæse et selvvalgt kodebibliotek, altså en fil med programkode, som Teams normalt ikke selv har valgt. Fordi Teams ikke kontrollerer biblioteket godt nok (CWE-347), kan koden i praksis køre med de samme rettigheder som Teams har på maskinen.
Hvem rammer det?
Sårbarheden rammer virksomheder og skoler, der bruger Microsoft Teams (work or school) til macOS i version 24046.2813.2770.1094 eller tidligere. Windows- og Linux-udgaverne af Teams er ikke nævnt som ramt i denne sårbarhed. Det er relevant for jer, hvis medarbejdere sidder på Mac-computere og bruger Teams til møder, chat og fildeling på arbejdet.
Hvad kan ske?
Har en angriber allerede fået et skadeligt program installeret på en medarbejders Mac, for eksempel via et falsk vedhæftet dokument, kan programmet udnytte fejlen til at snige kode ind i Teams. Koden får dermed adgang til de samme data og rettigheder som Teams, herunder chatbeskeder, filer og eventuelt adgangstokens til Microsoft 365. Angriberen kan ikke lukke eller sætte Teams ud af drift via denne fejl, men kan læse og ændre data, som Teams har adgang til.
Hvor alvorligt er det?
CVSS-scoren er 7,1 ud af 10, hvilket er alvorligt. Angrebet kræver dog, at der allerede kører et skadeligt program lokalt på maskinen (angrebsvektor: lokal), og at det har lave brugerrettigheder i forvejen. Der kræves ingen handling fra brugeren, når koden er installeret. Fortrolighed og integritet af data er i høj risiko, mens tilgængelighed ikke er påvirket. Der er ingen kendte tilfælde af aktiv udnyttelse af denne sårbarhed offentliggjort.
Hvad gør jeg nu?
Sådan lukker I hullet og begrænser risikoen:
- Opdatér Microsoft Teams til macOS til den nyeste version fra Microsoft, så biblioteket bliver kontrolleret korrekt.
- Sørg for, at macOS’s egen beskyttelse mod ukendte programmer (Gatekeeper) er aktiveret på alle firma-Mac’er.
- Begræns, hvilke medarbejdere der kan installere programmer uden om virksomhedens softwarestyring.
- Brug en løsning til endpoint-beskyttelse, der kan opdage og blokere ukendte programmer og kodebiblioteker på Mac’erne.
- Undervis medarbejdere i ikke at åbne vedhæftede filer eller downloade programmer fra ukendte kilder, da det er den mest sandsynlige vej ind.
- Kontakt os, hvis I ikke har overblik over, hvor mange Mac-enheder der kører Teams, eller hvis I mistænker, at en maskine allerede er kompromitteret.
Opdatér inden for en uge
Vi anbefaler, at I opdaterer Microsoft Teams til macOS på alle firmaenheder ved næste normale opdateringsvindue, da fejlen kræver, at et skadeligt program allerede er på maskinen. Det er derfor vigtigere at sikre, at ingen uautoriserede programmer kan installeres, end at opdatere akut samme dag. Har I mange Mac-enheder uden central styring af software, bør I fremskynde både opdatering og gennemgang af installerede programmer.
Tidslinje
Konkrete eksempler
Skadeligt program på medarbejders Mac
En medarbejder i en dansk virksomhed åbner en vedhæftet fil i en phishing-mail, som installerer et skjult program på Mac’en. Programmet udnytter fejlen i Teams’ hjælpeprogram til at injicere et kodebibliotek og får dermed adgang til Teams’ chatbeskeder og adgangstokens. Angriberen kan herefter læse fortrolige samtaler og filer delt i Teams, uden at medarbejderen bemærker noget unormalt.
Ofte stillede spørgsmål
Er vi ramt af denne sårbarhed?
I er ramt, hvis jeres virksomhed bruger Microsoft Teams (work or school) til macOS i version 24046.2813.2770.1094 eller ældre. Tjek versionen under Teams’ menu ‘Om Microsoft Teams’ på de Mac-computere, I bruger.
Kan vi vente til weekenden med at opdatere?
Ja, det er som udgangspunkt i orden, fordi angrebet kræver, at et skadeligt program allerede kører på maskinen. Vi anbefaler dog at opdatere ved førstkommende normale opdateringsvindue og ikke skubbe det unødigt langt.
Kræver det, at en medarbejder klikker på noget?
Nej, selve udnyttelsen af fejlen kræver ikke brugerhandling. Men angriberen skal først have fået et skadeligt program installeret på maskinen, hvilket typisk sker via phishing eller et falsk program.
Rammer det også Teams på Windows?
Nej, denne konkrete sårbarhed er beskrevet for Microsoft Teams til macOS. Der er ikke belæg for, at Windows- eller Linux-udgaverne er ramt af CVE-2024-41138.
Skal vi anmelde dette til Datatilsynet eller andre myndigheder?
Der er ingen kendte tilfælde af udnyttelse af denne sårbarhed. En anmeldelsespligt opstår først, hvis I konstaterer et konkret sikkerhedsbrud med adgang til persondata, ikke ved offentliggørelsen af en sårbarhed i sig selv.
Hvordan tjekker vi, om en Mac allerede er kompromitteret?
Se efter ukendte programmer eller kodebiblioteker, der er installeret uden IT-afdelingens godkendelse, og gennemgå logs for uventet netværkstrafik fra Teams-processen. Er I i tvivl, bør I få en teknisk gennemgang af maskinen.
Ramte produkter
Microsoft: Teams
24046.2813.2770.1094
CVSS-detaljer
CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:N
CWE-svaghedstyper
Original NVD-beskrivelse (engelsk)
A library injection vulnerability exists in the com.microsoft.teams2.modulehost.app helper app of Microsoft Teams (work or school) 24046.2813.2770.1094 for macOS. A specially crafted library can leverage Teams’s access privileges, leading to a permission bypass. A malicious application could inject a library and start the program to trigger this vulnerability and then make use of the vulnerable application’s permissions.
Referencer & kilder
Eksterne kilder
Brug for hjælp med jeres sikkerhed?
Vi hjælper SMV’er med at omsætte trusler som denne til konkrete handlingsplaner.