Sicherheitslücke in Microsoft OneDrive: Vollzugriff für Apps möglich

NEW YORK / LONDON (IT BOLTWISE) – Eine kürzlich entdeckte Sicherheitslücke in Microsofts OneDrive File Picker könnte weitreichende Folgen für die Datensicherheit haben. Forscher des Oasis Research Teams fanden heraus, dass durch eine fehlerhafte Implementierung von OAuth-Berechtigungen Apps potenziell Zugriff auf den gesamten Cloud-Speicher eines Nutzers erhalten können, selbst wenn nur eine einzige Datei hochgeladen wird.

Die Sicherheitslücke in Microsofts OneDrive File Picker hat das Potenzial, die Datensicherheit von Millionen von Nutzern zu gefährden. Laut dem Oasis Research Team liegt das Problem in den zu weit gefassten OAuth-Berechtigungen und irreführenden Einwilligungsbildschirmen, die den Umfang des gewährten Zugriffs nicht klar darstellen. Diese Schwachstelle könnte zu erheblichen Konsequenzen führen, darunter Datenlecks und Verstöße gegen Compliance-Vorgaben.

Betroffen sind unter anderem beliebte Anwendungen wie ChatGPT, Slack, Trello und ClickUp, die mit Microsofts Cloud-Diensten integriert sind. Das Problem entsteht durch die übermäßigen Berechtigungen, die der OneDrive File Picker anfordert, da er Lesezugriff auf das gesamte Laufwerk verlangt, selbst wenn nur eine einzelne Datei hochgeladen wird. Dies ist auf das Fehlen feingranularer OAuth-Berechtigungen für OneDrive zurückzuführen.

Die Einwilligungsaufforderung, die Nutzern vor dem Hochladen einer Datei angezeigt wird, ist vage und vermittelt nicht ausreichend, welches Maß an Zugriff gewährt wird. Dadurch sind Nutzer unerwarteten Sicherheitsrisiken ausgesetzt. Die fehlende Differenzierung zwischen bösartigen Apps, die auf alle Dateien abzielen, und legitimen Apps, die übermäßige Berechtigungen anfordern, weil es keine andere sichere Option gibt, verschärft das Problem.

Das New Yorker Sicherheitsunternehmen wies zudem darauf hin, dass die zur Autorisierung verwendeten OAuth-Tokens oft unsicher gespeichert werden, da sie im Klartext im Session Storage des Browsers abgelegt werden. Ein weiteres potenzielles Risiko besteht darin, dass die Autorisierungsabläufe auch die Ausgabe eines Refresh-Tokens beinhalten können, wodurch die Anwendung fortlaufenden Zugriff auf Nutzerdaten erhält, indem sie neue Zugriffstokens erhält, ohne den Nutzer erneut zur Anmeldung aufzufordern, wenn das aktuelle Token abläuft.

Nach verantwortungsvoller Offenlegung hat Microsoft das Problem anerkannt, jedoch gibt es noch keine Lösung. In der Zwischenzeit wird empfohlen, die Möglichkeit, Dateien über OneDrive mittels OAuth hochzuladen, vorübergehend zu entfernen, bis eine sichere Alternative verfügbar ist. Alternativ wird geraten, auf die Verwendung von Refresh-Tokens zu verzichten und Zugriffstokens sicher zu speichern und zu löschen, wenn sie nicht mehr benötigt werden.

Die Entdeckung dieser Sicherheitslücke unterstreicht die Bedeutung kontinuierlicher Wachsamkeit im Umgang mit OAuth-Berechtigungen, regelmäßiger Sicherheitsbewertungen und proaktiver Überwachung zum Schutz von Nutzerdaten. Microsoft wurde um eine Stellungnahme gebeten, und es bleibt abzuwarten, wie das Unternehmen auf diese Herausforderung reagieren wird.

Unseren KI-Morning-Newsletter «Der KI News Espresso» mit den besten KI-News des letzten Tages gratis per eMail - ohne Werbung: Hier kostenlos eintragen!