Vulnerabilidad en Microsoft 365 permite robo de tokens en Android
Introducción
La reciente vulnerabilidad en las aplicaciones de Microsoft 365 para Android ha suscitado preocupaciones sobre la seguridad de las cuentas de usuario. Un flag de depuración activo permitió a aplicaciones no confiables acceder a tokens de cuenta, lo que representa un riesgo significativo para la privacidad y seguridad de los datos.
¿Qué sucedió?
Un equipo de seguridad de Enclave descubrió que las aplicaciones como Word, PowerPoint, Excel y otros productos de Microsoft 365 no validaban adecuadamente la autenticidad de las aplicaciones que solicitaban accesos. Esto ocurrió debido a que un flag de depuración quedó activo en las versiones de producción, lo que desactivó las verificaciones de seguridad necesarias para limitar el acceso a aplicaciones de Microsoft de confianza.
Impacto y Riesgo
La vulnerabilidad, conocida como FlagLeft, permitía que cualquier aplicación en el mismo dispositivo pudiera obtener el token de la cuenta del usuario sin requerir una contraseña ni autorización. Esto implica que un atacante con una aplicación maliciosa podría leer correos, acceder a archivos, revisar calendarios y enviar mensajes en nombre del usuario de manera clandestina. La posibilidad de abuso es alarmante, especialmente considerando que estos tokens son renovables y pueden ser utilizados por largos períodos sin ser detectados.
Recomendaciones
- Actualizar de inmediato las aplicaciones de Microsoft 365 en Android para recibir los parches lanzados por Microsoft.
- Revisar las aplicaciones instaladas en los dispositivos y desinstalar aquellas que no sean necesarias o que no sean de confianza.
- Implementar soluciones de seguridad en los dispositivos móviles que alerten sobre comportamientos sospechosos.
- Capacitar a los usuarios sobre los riesgos de descargar aplicaciones desde fuentes no oficiales.
Conclusión
La vulnerabilidad descubierta en Microsoft 365 resalta la importancia de mantener vigilados los flags de configuración durante el proceso de desarrollo y despliegue de aplicaciones. Con un entorno móvil cada vez más interconectado, es vital que tanto los desarrolladores como los usuarios finales adopten prácticas seguras para proteger la información sensible.
