Falha no OneDrive expõe arquivos de usuários a aplicativos de terceiros
Uma vulnerabilidade no OneDrive permite que aplicativos de terceiros acessem todos os arquivos de um usuário, mesmo quando apenas um documento é autorizado. A Microsoft ainda não lançou uma correçã...
Resumo rápido
Uma vulnerabilidade no OneDrive permite que aplicativos de terceiros acessem todos os arquivos de um usuário, mesmo quando apenas um documento é autorizado. A Microsoft ainda não lançou uma correção, e é recomendável desativar essa função temporariamente.
Neste artigo você vai aprender:
- O que é a falha no OneDrive e suas implicações.
- Como a falha permite acesso não autorizado aos arquivos.
- Sinais de alerta sobre a vulnerabilidade e como identificá-los.
- Medidas para se proteger enquanto a falha não é corrigida.
- A importância de revisar permissões concedidas a aplicativos.
O que é a falha no OneDrive
Uma vulnerabilidade crítica no OneDrive, serviço de armazenamento em nuvem da Microsoft, pode permitir que aplicativos de terceiros acessem todos os arquivos de um usuário, mesmo quando este autoriza o envio de apenas um documento. A falha foi descoberta por pesquisadores da Oasis Security e divulgada no dia 28 de maio de 2025.
Como funciona
O problema está relacionado ao recurso "File Picker" do OneDrive, utilizado por diversos aplicativos, como ChatGPT, Slack, Trello e ClickUp, para facilitar o envio de arquivos. Ao autorizar o envio de um arquivo, o usuário, na verdade, concede permissão para que o aplicativo acesse todo o conteúdo do seu armazenamento em nuvem.
Isso ocorre devido à ausência de controles mais específicos nas permissões (chamadas de "OAuth scopes") e à apresentação de telas de consentimento pouco claras.
Além disso, os tokens de acesso, que funcionam como chaves para autorizar o acesso aos dados, são armazenados de forma insegura no navegador, em texto simples. Em alguns casos, esses tokens incluem "refresh tokens", que permitem ao aplicativo manter o acesso contínuo aos dados do usuário sem solicitar nova autorização.
Sinais de alerta / Como identificar
A Microsoft reconheceu a falha após a divulgação responsável feita pelos pesquisadores, mas ainda não lançou uma correção. Enquanto isso, especialistas recomendam desativar temporariamente a opção de envio de arquivos via OneDrive em aplicativos de terceiros e evitar o uso de refresh tokens até que uma solução segura seja implementada.
O que fazer agora / Como se proteger
- Desative a opção de envio de arquivos via OneDrive em aplicativos de terceiros.
- Evite o uso de refresh tokens até que a Microsoft lance uma correção.
- Revise as permissões concedidas a aplicativos de terceiros.
- Mantenha práticas de segurança rigorosas no gerenciamento de dados em nuvem.
Prevenção / Boas práticas
Essa vulnerabilidade destaca a importância de revisar cuidadosamente as permissões concedidas a aplicativos e de manter práticas de segurança rigorosas no gerenciamento de dados em nuvem.
Perguntas frequentes
O que é a vulnerabilidade no OneDrive?
É uma falha que permite que aplicativos de terceiros acessem todos os arquivos de um usuário quando apenas um documento é autorizado.
Quais aplicativos são afetados pela falha?
Aplicativos como ChatGPT, Slack, Trello e ClickUp utilizam o recurso File Picker do OneDrive, tornando-se vulneráveis.
Como posso me proteger até que a falha seja corrigida?
Desative o envio de arquivos via OneDrive em aplicativos de terceiros e evite o uso de refresh tokens.
A Microsoft já se manifestou sobre a falha?
Sim, a Microsoft reconheceu a falha, mas ainda não lançou uma correção.
Qual é a importância de revisar permissões de aplicativos?
Revisar permissões ajuda a prevenir acessos não autorizados aos dados do usuário e a manter a segurança das informações armazenadas em nuvem.
Proteja seus dados com a LC Sec
Para garantir a proteção dos seus dados e da sua empresa, conte com a LC SEC. Oferecemos soluções especializadas em segurança digital para prevenir e mitigar riscos cibernéticos.
Referência:
Receba as principais notícias de cibersegurança
Inscreva-se em nossa newsletter e receba artigos, alertas de vulnerabilidades e tendências diretamente no seu email.
Compartilhe nas redes sociais:
