Microsoft Teams ist eine in Unternehmen beliebte Kommunikationsplattform. Dabei hat der Hersteller einige Sicherheitsmechanismen eingebaut, sodass externe Kommunikationspartner auf anderen Teams-Instanzen nicht ohne Weiteres Dateien an interne Empfänger senden können. Mit einem Trick lässt sich dieser Schutz jedoch umgehen, wie Security-Experten von Jumpsec herausgefunden haben.

Hierfür mussten sie die interne und externe Empfänger-ID im POST-Request vertauschen, und schon ließ sich Teams in die Irre führen und hat die von außen zugesandten Dateien durchgewunken. Lediglich ein eher kleiner Hinweis am oberen Bildrand wies darauf hin, dass es sich um die Nachricht eines externen Absenders handelte. Doch der Erfahrung der Pentester von Jumpsec zufolge sei dies in der Regel kein wirkliches Hindernis für einen Angreifer.

Betroffen ist dabei Microsoft Teams mit gesetzten Standardeinstellungen. Obwohl der Konzern die Schwachstelle bestätigt hat, sieht dieser darin keinen Grund, unmittelbar tätig zu werden. Firmen sollten daher genau prüfen, ob sie mit externen Teams-Tenants überhaupt kommunizieren müssen, und falls nicht, diese Möglichkeit ganz deaktivieren. Für den Fall, dass Mitarbeiter mit anderen Teams-Instanzen in Kontakt sind, sollten deren Domains per Whitelist freigeschaltet und alle anderen externen Absender blockiert werden.