9/20号 ②「Microsoft Teams」デスクトップアプリに脆弱性

Teamsデスクトップアプリには多くのアプリでの利用実績がある「Electron」フレームワークが使われていますが、同社ではElectronが暗号化等の機能を備えていないと指摘しています。

注意喚起では、PC上に侵入した攻撃者が脆弱性を突いて認証トークンを取り出すシナリオが挙げられており、外部からユーザーを悪意のあるサイトに誘導する等によって直接機密情報を奪取することは現時点では不可能とみられることから、MS側は速やかに対応を行わないと判断したと思われます。

他の脆弱性の悪用やマルウェアの感染等の経路でPCに侵入された場合を想定し、そこからTeamsアカウントの乗っ取り等が行われることを懸念するならば、注意喚起の通りデスクトップアプリの利用を控えブラウザーからの利用に切り替えることは有用でしょうし、一方でPCへの侵入はその他の様々な攻撃にも繋がることから、OS・アプリケーションさらには各種ハードウェアを制御するファームウェアを可能な限り最新に保ち、アンチウイルスやUTM等による侵入防御も万全に行う必要があるでしょう。