Coding Gaffe Exposes Microsoft 365 Accounts to Widespread Takeover
C darkreading ·
Admiralty-Bewertung (A–F · 1–6)
Quellenzuverlässigkeit
- A Völlig zuverlässig
- B Gewöhnlich zuverlässig
- C Recht zuverlässig
- D Nicht gewöhnlich zuverlässig
- E Unzuverlässig
- F Nicht bewertbar
Informationsglaubwürdigkeit
- 1 Bestätigt
- 2 Wahrscheinlich wahr
- 3 Möglicherweise wahr
- 4 Zweifelhaft
- 5 Unwahrscheinlich
- 6 Nicht bewertbar
NATO Admiralty (AJP-2.1) bewertet die Verlässlichkeit, unabhängig vom Risk Score. Für Nicht-CVE-News wird keine quellenübergreifende Bestätigung erfasst, daher sind Einzelquellen-Meldungen in der Glaubwürdigkeit gedeckelt; eine niedrige Zahl bedeutet nicht geringe Qualität.
Key Insight
Ein Debugging-Fehler in Microsoft 365 Android-Apps (Excel, Word, PowerPoint, OneNote, Loop, Copilot) deaktivierte eine kritische Sicherheitseinstellung zur Tokenschutzvalidierung in Produktionsversionen, wodurch Angreifer Authentifizierungstoken stehlen und Konten übernehmen können.
Beschreibung
Forscher von Enclave entdeckten eine Schwachstelle in einem Debug-Setting, das versehentlich in Produktionsversionen mehrerer Microsoft-Android-Apps aktiviert blieb, einschließlich Excel, Word, PowerPoint, OneNote, Loop und Microsoft 365 Copilot. Die Sicherheitseinstellung schützte normalerweise die Authentifizierung über verschiedene Android-Versionen hinweg. Das fehlerhaft aktivierte Debug-Setting ermöglicht es Angreifern, Authentifizierungstoken zu exfiltrieren und so Konten im großen Maßstab zu kompromittieren. Die Anfälligkeit ermöglicht eine Massenübernahme von Microsoft 365-Konten ohne weitere Exploit-Komplexität.
Risk Score
- cvss base
- 45.00
- kev bonus
- 0.00
- epss bonus
- 0.00
- poc bonus
- 15.00
- raw before weight
- 60.00
- industry weight
- 1.21
- freshness factor
- 1.00
- days old
- 0.00
- vendor mismatch penalty
- 0.00
- consensus penalty
- -3.00
Pfad: operational