CVE-2024-41145: Biblioteksinjektion i Microsoft Teams på macOS
Sårbarhed i Microsoft Teams til macOS lader en skadelig app snige et bibliotek ind og stjæle Teams’ rettigheder. Opdatér Teams til nyeste version.
Hvad er det?
Der er fundet en sårbarhed i hjælpeprogrammet WebView.app, som er en del af Microsoft Teams til macOS. Fejlen kaldes biblioteksinjektion og betyder, at et program kan narre Teams til at indlæse et bibliotek, altså en fil med programkode, som ikke stammer fra Microsoft. Når biblioteket er indlæst, kører det med Teams’ egne rettigheder til systemet. Det giver angriberen adgang til det, Teams i forvejen har lov til, uden at brugeren skal godkende noget undervejs.
Hvem rammer det?
Sårbarheden rammer Microsoft Teams til macOS, version 24046.2813.2770.1094 og tidligere versioner af Teams til arbejde eller skole. Det er altså virksomheder og kommuner, hvor medarbejdere bruger Teams på Mac-computere, der er berørt. Windows-versionen af Teams er ikke nævnt i denne sårbarhed.
Hvad kan ske?
Har en angriber allerede fået et skadeligt program installeret på en medarbejders Mac, kan programmet udnytte sårbarheden til at overtage Teams’ adgang. I praksis betyder det, at angriberen kan læse chats, filer og andre data, som Teams har adgang til, uden at brugeren ser noget unormalt. Sårbarheden gør ikke i sig selv, at systemet holder op med at virke, men den kan bruges til at stjæle fortrolige oplysninger fra virksomhedens samtaler og dokumenter.
Hvor alvorligt er det?
CVSS-scoren er 7,1 ud af 10, hvilket er alvorligt. Angrebet kræver dog, at angriberen allerede har lokal adgang til computeren, for eksempel via et andet skadeligt program, og at brugeren har lave rettigheder på maskinen i forvejen. Der skal ikke ekstra brugerhandling til, når først det skadelige program er på maskinen. Konsekvensen er høj risiko for tab af fortrolighed og integritet i Teams’ data, men sårbarheden lukker ikke Teams ned eller giver adgang til hele systemet. Der er ikke oplysninger om, at sårbarheden er udnyttet i praksis.
Hvad gør jeg nu?
Sådan lukker I hullet og reducerer risikoen:
- Opdatér Microsoft Teams til macOS til den nyeste version fra Microsofts officielle kanaler, så den sårbare kode i WebView.app ikke længere findes.
- Sørg for, at macOS’ Gatekeeper og notarisering er aktiveret på alle Mac-computere, så uverificerede programmer ikke kan køre uden videre.
- Begræns medarbejderes mulighed for at installere programmer fra ukendte kilder, især via lokale administrationsrettigheder.
- Kør en opdateret endpoint-beskyttelse, der kan opdage skadelige programmer, før de får fodfæste på maskinen.
- Gennemgå, om der findes ældre eller ikke-godkendte programmer på virksomhedens Mac-flåde, og fjern dem.
- Er I i tvivl om, hvordan I sikrer jeres Mac-flåde mod denne type angreb, bør I hente hjælp fra en it-sikkerhedsrådgiver.
Opdatér Teams ved næste vedligeholdelsesvindue
Vi anbefaler, at I opdaterer Microsoft Teams på alle Mac-computere til den nyeste version og samtidig sikrer, at Gatekeeper er aktiveret. Da angrebet kræver, at der allerede findes skadelig software på maskinen, er det ikke nødvendigt at afbryde driften akut, men opdateringen bør med i jeres almindelige patch-rutine inden for kort tid. Har I en Mac-flåde uden central styring af, hvilke programmer der må installeres, bør I se på det som en selvstændig opgave.
Tidslinje
Konkrete eksempler
Skadeligt program på en medarbejders Mac
En medarbejder i en dansk virksomhed installerer et gratis program fra en ukendt hjemmeside for at konvertere filer. Programmet indeholder skadelig kode, der udnytter sårbarheden i Teams’ WebView.app til at få adgang til medarbejderens Teams-chats og delte filer. Angriberen kan derefter læse fortrolige samtaler om kunder eller kontrakter, uden at medarbejderen bemærker noget unormalt.
Ofte stillede spørgsmål
Er vi ramt af denne sårbarhed?
I er ramt, hvis nogen af jeres medarbejdere bruger Microsoft Teams til arbejde eller skole på en macOS-computer med version 24046.2813.2770.1094 eller ældre. Tjek Teams’ versionsnummer under Om Teams i programmet.
Hvordan tjekker vi, om vi bruger en sårbar version?
Åbn Microsoft Teams på Mac-computeren, klik på profilbilledet og vælg Om, derefter Version. Sammenlign nummeret med den version, Microsoft angiver som sårbar i deres sikkerhedsmeddelelse.
Kan vi vente til den næste planlagte opdatering?
Ja, da angrebet kræver, at der allerede er installeret skadelig software på maskinen. Vent ikke længere end til jeres næste ordinære opdateringsvindue, og prioritér computere, hvor medarbejdere har lokal administratoradgang eller installerer programmer selv.
Kræver angrebet, at brugeren klikker på noget?
Nej. Når det skadelige program først er på maskinen, kræver selve udnyttelsen af Teams ikke, at brugeren klikker på noget eller godkender en handling.
Gælder sårbarheden også Teams på Windows eller iPad?
Nej, den beskrevne sårbarhed er specifik for macOS-versionen af Microsoft Teams og for hjælpeprogrammet WebView.app, som findes på Mac.
Skal vi anmelde dette som et sikkerhedsbrud?
Kun hvis I har konkrete tegn på, at sårbarheden er udnyttet og data er kompromitteret. Selve opdateringen af Teams er en forebyggende handling og udløser ikke i sig selv en anmeldelsespligt.
Ramte produkter
Microsoft: Teams
24046.2813.2770.1094
CVSS-detaljer
CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:N
CWE-svaghedstyper
Original NVD-beskrivelse (engelsk)
A library injection vulnerability exists in the WebView.app helper app of Microsoft Teams (work or school) 24046.2813.2770.1094 for macOS. A specially crafted library can leverage Teams’s access privileges, leading to a permission bypass. A malicious application could inject a library and start the program to trigger this vulnerability and then make use of the vulnerable application’s permissions.
Referencer & kilder
Eksterne kilder
Brug for hjælp med jeres sikkerhed?
Vi hjælper SMV’er med at omsætte trusler som denne til konkrete handlingsplaner.