Falha crítica no SharePoint Connector da Microsoft expôs credenciais de utilizadores

Uma falha de segurança grave no conector do SharePoint da Microsoft Power Platform expôs credenciais de utilizadores e permitiu a execução de ações não autorizadas em vários serviços, incluindo Power Apps, Power Automate, Copilot Studio e Copilot 365. A vulnerabilidade, rastreada como CVE-2024-49070, foi descoberta pelo Zenity Labs em setembro de 2024 e corrigida pela Microsoft em dezembro do mesmo ano.

O problema residia numa validação inadequada de entradas no conector do SharePoint, tal como descrito pela plataforma online especializada em cibersegurança Cyber Security News, o que permitia a manipulação de URL personalizadas sem a devida verificação. Como resultado, agentes mal-intencionados podiam enganar utilizadores para acionarem pedidos a servidores controlados pelos atacantes, comprometendo tokens Web JSON (JWT) associados às credenciais das vítimas. Estes tokens, quando explorados, permitiam aceder a dados sensíveis, executar ações em nome dos utilizadores afetados e, assim, escalar privilégios dentro da rede.

A exploração da falha exigia que os atacantes possuíssem as permissões Environment Maker e Basic User no Power Platform, o que lhes conferia a capacidade de criar e partilhar recursos. O impacto foi agravado pela sua natureza multiplataforma, afetando diferentes serviços da Microsoft, como o Power Automate, Power Apps, Copilot Studio e Copilot 365.

A Microsoft classificou a vulnerabilidade como um problema “importante” de elevação de privilégio com impacto significativo, citando a Cyber Security News, para organizações que utilizam o SharePoint para colaboração e gestão de dados. As correções abrangeram o SharePoint Server 2016, 2019 e a Edição de Assinatura, bem como os serviços Power Platform.

Apesar da mitigação da falha, é recomendado às organizações que garantam a aplicação das atualizações de segurança, restrinjam permissões de utilizadores para evitar explorações futuras e monitorem atividades suspeitas. Além disso, a formação de colaboradores sobre boas práticas de cibersegurança pode ajudar a prevenir ataques semelhantes no futuro.