🇰🇷 한글 설명
Microsoft Teams 온라인 서비스의 displayName 매개변수에서 저장형 교차 사이트 스크립팅(XSS) 취약점이 발견되었습니다. 공격자는 이를 통해 Teams 클라이언트에서 인증 토큰과 같은 민감한 정보를 탈취하거나 임의의 명령을 실행할 수 있습니다.
💡 쉬운 설명
채팅창의 이름 설정에 악성 코드를 숨겨두면, 다른 사용자가 그 이름을 볼 때 자동으로 해킹 코드가 실행되는 문제입니다. 이를 통해 해커가 사용자의 로그인 정보를 훔치거나 컴퓨터를 조종할 위험이 있습니다.
🇺🇸 원문 (English)
The Microsoft Teams online service contains a stored cross-site scripting vulnerability in the displayName parameter that can be exploited on Teams clients to obtain sensitive information such as authentication tokens and to possibly execute arbitrary commands. This vulnerability was fixed for all Teams users in the online service on or around October 2020.
📍 영향받는 시스템
Microsoft Teams Online Service (2020년 10월 이전 버전)
⚔️ 공격 벡터
displayName 매개변수에 악성 스크립트를 삽입하여 저장하는 방식 (Stored XSS)
🛡️ 대응 방법
Microsoft에서 제공하는 최신 버전의 Teams 온라인 서비스를 사용하십시오 (2020년 10월 이후 자동 패치 완료).
🔧 검증 코드
응답 결과의 displayName 값에 <script>와 같은 HTML 태그나 스크립트 문법이 포함되어 있는지 확인합니다.
curl -s https://api.teams.microsoft.com/v1/user/profile | grep -i 'displayName'