Bing teve falha que permitia mudar os resultados da busca e ver dados de usuários do Microsoft 365

Devido uma falha na configuração de aplicações da Microsoft, qualquer pessoa podia acessar e modificar os resultados de buscas do Bing. “Podia”, pois o problema foi descoberto no dia 31 de janeiro de 2023, mas foi consertado pela empresa no dia 28 de março. Uma das provas do defeito foi a alteração na lista de “Melhores trilhas sonoras”, que trocou o filme Duna por Hackers: Piratas de Computador.

A descoberta foi feita pela equipe de analistas do Wiz Research, um grupo de profissionais que visa detectar ameaças à nuvem e construir mecanismos para protegê-la. Eles perceberam que ao criar um aplicativo na Azure App Services e Azure Functions, o software poderia ser erroneamente configurado para permitir o acesso de usuários ao próprio app.

Em seguida, os analistas descobriram um programa chamado “Bing Trivia”, que estava mal configurado e permitia que qualquer pessoa logasse e acessasse o Sistema de Gerenciamento de Conteúdo do aplicativo. Contudo, não demorou para a equipe notar que o Bing.com estava diretamente ligado ao app. Ou seja, era possível entrar no buscador da Microsoft e modificá-lo.

Como teste, eles tentaram com sucesso alterar o resultado da pesquisa sobre “Melhores trilhas sonoras”. Os profissionais mudaram o primeiro título a aparecer na lista, desde seu nome a sua imagem de representação. O time da Wiz Research conseguiu adicionar até mesmo um link e um texto genérico.

Os analistas decidiram tentar injetar um payload através da mesma brecha que encontraram no aplicativo “Bing Trivia”. Eles logo perceberam que conseguiam executar um ataque XSS (Cross-Site Scripting), que colocaria um código malicioso no Bing.com, o transformando em uma armadilha para os usuários.

O teste da equipe do Wiz Research provou que era possível comprometer a segurança do Microsoft 365 assim que um usuário visse o carrossel na página de resultados do buscador. Isso daria para os cibercriminosos total acesso a informações pessoais como e-mail, mensagens do Teams e arquivos do OneDrive.

Fonte: Tecnoblog