Pesquisadores de cibersegurança divulgaram detalhes sobre uma vulnerabilidade que foi corrigida e afetava o conector do Microsoft SharePoint no Power Platform.
Se explorada com sucesso, ela poderia permitir que atores de ameaças coletassem as credenciais de um usuário e realizassem ataques subsequentes.
Isso poderia resultar em ações de pós-exploração que permitiriam ao atacante enviar solicitações para a API do SharePoint em nome do usuário, possibilitando o acesso não autorizado a dados sensíveis, conforme relatado pela Zenity Labs em um relatório compartilhado antes de sua publicação.
"Essa vulnerabilidade pode ser explorada no Power Automate, Power Apps, Copilot Studio e Copilot 365, o que amplia significativamente o escopo do dano potencial," disse Dmitry Lozovoy, pesquisador sênior de segurança.
Isso aumenta a probabilidade de um ataque bem-sucedido, permitindo que hackers mirem em múltiplos serviços interconectados dentro do ecossistema do Power Platform.
Após a divulgação responsável em setembro de 2024, a Microsoft corrigiu essa falha de segurança, avaliada com uma gravidade "Importante", em 13 de dezembro.
O Microsoft Power Platform é um conjunto de ferramentas de desenvolvimento low-code que permite aos usuários facilitar análises, automação de processos e aplicações produtivas baseadas em dados.
A vulnerabilidade, em sua essência, é uma instância de SSRF (Server-Side Request Forgery) que surge do uso da funcionalidade "valor personalizado" dentro do conector do SharePoint, permitindo que um atacante insira suas próprias URLs como parte de um fluxo.
No entanto, para que o ataque seja bem-sucedido, o usuário mal-intencionado precisará ter um papel de Environment Maker e o papel de Basic User no Power Platform.
Isso também significa que eles precisariam primeiro obter acesso a uma organização-alvo por outros meios e adquirir esses papéis.
"Com o papel de Environment Maker, eles podem criar e compartilhar recursos maliciosos como apps e fluxos," informou a Zenity.
O papel de Basic User permite que eles executem apps e interajam com os recursos que possuem no Power Platform.
Se o atacante ainda não tiver esses papéis, ele precisará obtê-los primeiro. Em um cenário hipotético de ataque, um ator de ameaça poderia criar um fluxo para uma ação do SharePoint e compartilhá-lo com um usuário de baixo privilégio (leia-se vítima), resultando no vazamento do token de acesso JWT do SharePoint.
Armado com este token capturado, o atacante poderia enviar solicitações fora do Power Platform em nome do usuário ao qual foi concedido acesso.
E não para por aí.
A vulnerabilidade poderia ser estendida ainda mais para outros serviços como Power Apps e Copilot Studio, criando um app Canvas aparentemente inofensivo ou um agente Copilot para coletar o token de um usuário e escalar o acesso ainda mais.
"Você pode levar isso ainda mais longe, incorporando o app Canvas em um canal do Teams, por exemplo," observou a Zenity.
Uma vez que os usuários interajam com o app no Teams, você pode coletar os tokens deles tão facilmente, expandindo seu alcance pela organização e tornando o ataque ainda mais disseminado.
O principal ponto de atenção é que a natureza interconectada dos serviços do Power Platform pode resultar em sérios riscos de segurança, especialmente dado o uso disseminado do conector do SharePoint, onde muitos dados corporativos sensíveis estão armazenados, e pode ser complicado garantir que os direitos de acesso adequados sejam mantidos em vários ambientes.
Esse desenvolvimento ocorre enquanto a Binary Security detalhou três vulnerabilidades de SSRF no Azure DevOps que poderiam ser abusadas para se comunicar com os endpoints da API de metadados, permitindo assim que um atacante obtenha informações sobre a configuração da máquina.
Publicidade
Tenha acesso aos melhores hackers éticos do mercado através de um serviço personalizado, especializado e adaptado para o seu negócio. Qualidade, confiança e especialidade em segurança ofensiva de quem já protegeu centenas de empresas. Saiba mais...