Poważna luka w Microsoft Office 365. Cyberprzestępcy mogą odczytać szyfrowane e-maile!

Eksperci firmy WithSecure ostrzegają przed luką bezpieczeństwa w usłudze Microsoft Office 365 Message Encryption. Cyberprzestępcy mogą wykorzystać ją do odczytania szyfrowanych wiadomości e-mail.

Firma WithSecure, dawniej znana jako F-Secure Business, opublikowała raport bezpieczeństwa, w którym ostrzega przed luką w zabezpieczeniach Microsoft Office 365 Message Encryption (OME). Cyberprzestępcy mogą ją wykorzystać do odszyfrowania wiadomości email. Microsoft nie wydał odpowiedniej aktualizacji, dlatego WithSecure zaleca unikanie korzystania z OME jako sposobu na zapewnienie poufności wiadomości e-mail.

Szyfrowane e-maile zagrożone

Usługa Microsoft Office 365 Message Encryption jest wykorzystywana przez użytkowników prywatnych oraz organizacje do wewnętrznego i zewnętrznego wysyłania zaszyfrowanych wiadomości e-mail. Wykorzystuje ona algorytm Electronic Codebook (ECB) – tryb działania znany z wycieków pewnych strukturalnych informacji na temat wiadomości e-mail.

Cyberprzestępcy po pozyskaniu wystarczająco dużej liczby e-maili OME, mogą wykorzystać wyciek do częściowego lub pełnego ustalenia treści wiadomości. Stosują w tym celu analizę lokalizacji i częstotliwości powtarzających się wzorców, a następnie dopasowywanie ich do wzorców znalezionych w innych e-mailach i plikach OME.

Atakujący, mając dostęp do dużej liczby maili, mogą być w stanie odszyfrować wiadomości. Im większa liczba e-maili w ich rękach, tym łatwiejszy i dokładniejszy jest ten proces. Cyberprzestępcy mogą wykorzystać archiwa wiadomości skradzionych podczas włamania na konta, serwery poczty elektronicznej bądź kopie zapasowe danych.

Harry Sintonen – Konsultant WithSecure i badacz cyberbezpieczeństwa, który odkrył lukę

Hakerzy mogą przeprowadzić analizę wiadomości nawet offline, a użytkownicy nie mogą uniemożliwić atakującemu odszyfrowania, jeżeli wejdzie on już w ich posiadanie. Do wykorzystania luki nie jest potrzebna znajomość kluczy szyfrujących, a zastosowanie schematu Bring Your Own Key (BYOK) nie rozwiązuje problemu.

Brak poprawki od Microsoftu

Harry Sintonen podzielił się swoimi badaniami z Microsoftem w styczniu 2022 roku. Firma potwierdziła występowanie problemu i zapłaciła Sintonenowi za pośrednictwem swojego programu nagradzania podatności. Microsoft nie zdecydował się jednak na wydanie poprawki. Chociaż organizacje mogą zminimalizować ryzyko, nie korzystając z funkcji, nie rozwiązuje to problemu związanego z uzyskaniem przez cyberprzestępców dostępu do istniejących wiadomości e-mail zaszyfrowanych za pomocą OME.

Każda organizacja korzystająca z OME do szyfrowania wiadomości e-mail może mieć poważne problemy. Zwłaszcza te firmy, które mają wymagania dotyczące poufności umieszczone w umowach lub lokalnych przepisach. Trzeba zadać sobie pytanie, jaki wpływ na działalność danego podmiotu będzie miała kradzież tych danych.

Harry Sintonen – Konsultant WithSecure i badacz cyberbezpieczeństwa, który odkrył lukę

Ze względu na brak aktualizacji ze strony Microsoftu lub bardziej bezpiecznego trybu pracy dostępnego dla administratorów poczty elektronicznej bądź użytkowników, WithSecure zaleca unikanie korzystania z OME jako sposobu na zapewnienie poufności wiadomości e-mail.

Podziel się postem:

Najnowsze:

Bezpieczeństwo

Łańcuch Eksploatacji w Linux: Jak Dwa Błędy w PAM i udisks Prowadzą do Pełnego Przejęcia Systemu (CVE-2025-6018 & CVE-2025-6019)

W cyfrowym świecie bezpieczeństwa, eskalacja uprawnień (privilege escalation) jest jednym z najpoważniejszych zagrożeń. Umożliwia atakującemu, który posiada jedynie podstawowe konto użytkownika, zdobycie pełnej kontroli administracyjnej (root) nad systemem. Niedawne odkrycie przez Qualys Threat Research Unit stanowi podręcznikowy przykład tego, jak dwie pozornie odizolowane podatności mogą zostać połączone w niszczycielski łańcuch ataku.

Bezpieczeństwo

Oprogramowanie Open Source w służbie wojskowej: Jak drony z ArduPilot zmieniają oblicze wojny na Ukrainie

W dzisiejszych czasach, gdy technologia odgrywa kluczową rolę na każdym polu, od medycyny po rozrywkę, nie jest zaskoczeniem, że jej wpływ jest coraz bardziej widoczny również w dziedzinie wojskowości. Jednak to, co może być zaskakujące, to fakt, że oprogramowanie open-source, tworzone przez społeczność entuzjastów i programistów z całego świata, staje się potężnym narzędziem w rękach armii. Niedawny, zmasowany atak dronów przeprowadzony przez Ukrainę na rosyjskie bazy lotnicze, jest tego najlepszym przykładem i dowodem na to, jak technologie o otwartym kodzie źródłowym rewolucjonizują współczesne pole walki.

Oprogramowanie

Unia Europejska przejdzie na Linuxa? Powstaje dystrybucja EU OS

Unia Europejska może wkrótce podjąć kroki w kierunku uniezależnienia się od amerykańskiego oprogramowania. Społeczność entuzjastów pod patronatem władz UE pracuje nad projektem EU OS, który ma zastąpić system operacyjny Windows w instytucjach rządowych. Wybór padł na modyfikację dystrybucji Fedora Linux, która zostanie dostosowana do potrzeb urzędników poprzez interfejs przypominający Windows.

Dodaj komentarz

Twój adres e-mail nie zostanie opublikowany. Wymagane pola są oznaczone *