微軟登錄系統出現漏洞，Office帳戶安全存在風險

【獵雲網（微信號：ilieyun）】12月12日報導（編譯：福爾摩望）

這本身並不是什麽大問題，但Nk還發現，當用戶通過微軟的Live登錄系統登錄後，可以欺騙Microsoft Office、Store和Sway應用，將其經過身份驗證的登錄令牌發送到他新控制的域名中。

這是因為易受攻擊的應用使用了通配符正則表達式，可以允許所有office.com——包括他新控制的子域名——被信任。

例如，一旦受害者點擊電子郵件中發送的特製鏈接，用戶將使用他們的用戶名和密碼通過微軟的登錄系統登錄，如果用戶設定了雙重認證，則會創建一個帳戶訪問令牌，讓用戶無需一次又一次地輸入密碼即可登錄。獲取帳戶訪問令牌相當於擁有用戶的憑據，並允許攻擊者無縫地侵入該用戶的帳戶，通常也不會發出任何警報或觸發任何警告。（它們與今年早些時候讓超過3000萬Facebook帳戶面臨風險的帳戶令牌屬於同一類。）

但惡意URL則會指示微軟的登錄系統將帳戶令牌傳遞給Nk的受控子域，如果該子域受到惡意攻擊者的控制，可能會使無數帳戶面臨風險。最糟糕的是，惡意URL看起來是合法的，因為用戶仍然通過微軟的系統登錄，並且URL中的“wreply”參數看起來也並不可疑。

換句話說，任何人的Office帳戶，甚至企業和公司帳戶，包括他們的電子郵件、文檔和其他檔案，都可以被惡意攻擊者輕鬆訪問，而且幾乎不可能從合法用戶中辨別出來。

在Paulos Yibelo的幫助下，Nk向微軟報告了這個漏洞，微軟迅速修複了這一問題。

“微軟安全響應中心在2018年11月完結了此案，”微軟發言人在一封電子郵件中證實了這一消息。他解釋說，微軟通過刪除指向NK的Azure實例的CNAME記錄，修複了該錯誤。

微軟也向Nk支付了巨額獎金。