CVE-2024-42004: Sårbarhed i Microsoft Teams til macOS
En sårbarhed i Microsoft Teams til macOS (CVE-2024-42004) lader skadelig software på maskinen udnytte Teams’ adgang til kamera og mikrofon.
Hvad er det?
CVE-2024-42004 er en sårbarhed i Microsoft Teams til macOS, version 24046.2813.2770.1094. Fejlen kaldes biblioteksinjektion: et program på maskinen kan narre Teams til at indlæse et falsk kodebibliotek, når Teams starter. Det falske bibliotek kører derefter med Teams’ egne rettigheder på systemet. Da mange macOS-brugere har givet Teams adgang til kamera, mikrofon eller skærmoptagelse, kan et skadeligt program på den måde få adgang til de samme ting uden selv at skulle bede om tilladelse.
Hvem rammer det?
Sårbarheden rammer virksomheder og organisationer, der bruger Microsoft Teams (work eller school) på macOS i den nævnte version. Det gælder alle typer virksomheder, hvor medarbejdere har Mac-computere med Teams installeret, og hvor Teams har fået adgang til kamera, mikrofon, skærmoptagelse eller filer i macOS’ privatlivsindstillinger.
Hvad kan ske?
Hvis en medarbejders Mac allerede er inficeret med skadelig software, for eksempel via et falsk program hentet uden om virksomhedens godkendte kanaler, kan softwaren bruge denne sårbarhed til at tilgå Teams’ rettigheder. I praksis kan det betyde adgang til mikrofon og kamera uden yderligere godkendelse fra brugeren, og mulighed for at læse eller ændre data, som Teams har adgang til. Angrebet kræver ikke, at brugeren klikker på noget efter infektionen.
Hvor alvorligt er det?
CVSS-score er 7,1 ud af 10, alvorlig. Angrebsvektoren er lokal, hvilket betyder, at angriberen skal have skadelig kode kørende på maskinen i forvejen, det kan ikke udnyttes over internettet. Der kræves lave rettigheder og ingen brugerinteraktion, når det skadelige program først er på maskinen. Fortrolighed og integritet kan blive påvirket i høj grad, mens tilgængeligheden af systemet ikke berøres. Der er ikke oplysninger om, at sårbarheden er udnyttet i praksis.
Hvad gør jeg nu?
Følgende trin lukker hullet og begrænser risikoen:
- Opdater Microsoft Teams til macOS til den nyeste version på alle Mac-enheder i virksomheden.
- Gennemgå macOS’ privatlivsindstillinger for Teams og fjern adgang til kamera, mikrofon og skærmoptagelse, hvor det ikke er nødvendigt.
- Sørg for, at Mac-enhederne har opdateret antivirus eller endpoint-beskyttelse, der kan opdage skadelige programmer.
- Tillad kun installation af programmer fra kendte og godkendte kilder, og hold Gatekeeper aktiveret.
- Informer it-support om, at medarbejdere ikke selv skal installere ukendte programmer på arbejdscomputere.
- Kontakt en sikkerhedspartner som Auroa, hvis I har mistanke om, at en Mac allerede er inficeret, eller hvis I skal have hjælp til at revidere rettigheder på jeres Mac-flåde.
Opdater Teams inden for 30 dage
Vi anbefaler, at I opdaterer Teams på alle Mac-enheder som en del af jeres normale opdateringscyklus, og at I samtidig gennemgår, hvilke rettigheder Teams har fået i macOS’ privatlivsindstillinger. Da angrebet kræver, at en angriber allerede har fået skadelig kode ind på maskinen, er det ikke nødvendigt at afbryde driften for at opdatere med det samme. Det er dog ikke forsvarligt at vente længere end den næste planlagte opdatering, især hvis medarbejdere ofte installerer programmer fra ikke-godkendte kilder.
Tidslinje
Konkrete eksempler
Medarbejder installerer uofficiel software på Mac
En medarbejder i en dansk virksomhed downloader et gratis program fra en ukendt hjemmeside for at konvertere en fil. Programmet indeholder skadelig kode, der udnytter biblioteksinjektion i Teams. Koden får dermed adgang til den mikrofon- og kameratilladelse, som Teams allerede har fået, og kan potentielt lytte med i møder uden at brugeren opdager det.
Ofte stillede spørgsmål
Er vi ramt af denne sårbarhed?
I er potentielt ramt, hvis I har Microsoft Teams til macOS installeret i version 24046.2813.2770.1094 eller tidligere versioner med samme fejl. Tjek Teams-versionen på jeres Mac-enheder under Om Microsoft Teams.
Kan angriberen udnytte dette over internettet?
Nej. Sårbarheden kræver, at angriberen allerede har et program kørende lokalt på Mac-maskinen. Den kan ikke udnyttes direkte fra internettet eller via e-mail.
Kan vi vente til den næste planlagte opdatering?
Ja, hvis jeres Mac-enheder er velbeskyttede med opdateret antivirus og kun tillader programmer fra godkendte kilder. Er der derimod tegn på, at nogle Mac-computere har haft ukontrolleret programinstallation, bør opdateringen prioriteres hurtigere.
Skal vi anmelde dette som et sikkerhedsbrud?
Sårbarheden i sig selv er ikke et sikkerhedsbrud. Hvis I finder tegn på, at den er blevet udnyttet, og persondata er blevet tilgået, skal I vurdere anmeldelsespligten efter databeskyttelsesloven som ved andre sikkerhedsbrud.
Hvordan tjekker vi, om Teams har fået for mange rettigheder?
Gå ind under Systemindstillinger, Privatliv og sikkerhed på macOS, og se under kamera, mikrofon og skærmoptagelse, hvilke programmer der har adgang. Fjern adgang for Teams, hvor det ikke er en forretningsmæssig nødvendighed.
Ramte produkter
Microsoft: Teams
24046.2813.2770.1094
CVSS-detaljer
CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:N
CWE-svaghedstyper
Original NVD-beskrivelse (engelsk)
A library injection vulnerability exists in Microsoft Teams (work or school) 24046.2813.2770.1094 for macOS. A specially crafted library can leverage Teams’s access privileges, leading to a permission bypass. A malicious application could inject a library and start the program to trigger this vulnerability and then make use of the vulnerable application’s permissions.
Referencer & kilder
Eksterne kilder
Brug for hjælp med jeres sikkerhed?
Vi hjælper SMV’er med at omsætte trusler som denne til konkrete handlingsplaner.