freeBuf
主站

分类

漏洞 工具 极客 Web安全 系统安全 网络安全 无线安全 设备/客户端安全 数据安全 安全管理 企业安全 工控安全

特色

头条 人物志 活动 视频 观点 招聘 报告 资讯 区块链安全 标准与合规 容器安全 公开课

官方公众号企业安全新浪微博

FreeBuf.COM网络安全行业门户,每日发布专业的安全资讯、技术剖析。

FreeBuf+小程序

FreeBuf+小程序

快讯 | Office 365中的0-day漏洞baseStriker出现在野利用实例
2018-05-09 15:11:00

5 月 1 日,Avanan 的研究人员发现 Office 365 中出现了一个名为 baseStriker 的 0-day 漏洞。攻击者可利用这个漏洞发送恶意邮件,绕过 Office 365 的账户安全机制。

baseStriker (1).png

baseStriker 漏洞的代码使用了不常用的 < base > HTML 标签,主要是为相对的链接建立基本 URL。开发者经常在 HTML 文档(网页)的 <head > 部分声明这个标签。

例如,某个网站可能通过以下方式声明其基本 URL:

< base href = "https://www.example.com" / >

声明之后,开发者会将链接加入基本 URL 的全文中,但无需将全部代码写出来:

< img src = "/images/slider/photo-1.png" / >

在底层,HTML 渲染引擎(通常是浏览器)将合并基本URL和相对路径,并附带如下内容:

https://www.example.com/images/slider/photo-1.png

问题就在于,Office 365 不支持“基本”HTML 标签。因此,攻击者只需发送一封富文本格式的邮件,Office 365 就无法扫描并检测到 URL 中隐藏的恶意软件代码。这种富文本格式邮件的结构如下:

baseStriker-code.png

Outlook 将正确显示链接,这意味着用户可以点击链接并进入预设的页面。但是,高级威胁防护(ATP)和 Safelinks 等 Office365 安全机制在扫描链接之前不会将基本 URL 和相对路径合并在一起,这些系统只会分开扫描每个部分。

Avanan 研究员对多种电子邮件服务都进行了测试,结果发现只有 Office 365 易受 baseStriker 攻击。

QQ截图20180509143538.png

baseStriker 漏洞曝光才一周左右,研究人员就发现了相关的在野利用实例。有黑客利用这个漏洞发送网络钓鱼攻击,还能分发勒索软件、恶意软件和其他恶意内容。Avanan 已经与微软联系并报告了相关调查结果,但微软尚未反馈。

在野利用详情可参考 Avanan 的演示视频:

看不到?点这里

*参考来源:bleepingcomputer,AngelaY 编译整理,转载请注明来自 FreeBuf.COM。

本文作者:, 转载请注明来自FreeBuf.COM

# 0 day # Office 365 # baseStriker
被以下专辑收录,发现更多精彩内容
+ 收入我的专辑
评论 按热度排序

登录/注册后在FreeBuf发布内容哦

相关推荐
\
  • 0 文章数
  • 0 评论数
  • 0 关注者
登录 / 注册后在FreeBuf发布内容哦
收入专辑