TeamViewer 漏洞存在密码泄露风险，可能会影响数百万 Windows 用户

TeamViewer应用程序中的漏洞可能允许恶意行为者窃取密码。

这个严重漏洞是15.8.3之前在Windows应用程序的桌面版本中发现的。通过利用此弱点，经过身份验证的远程威胁者可以在受害者的系统上执行代码或破解其TeamViewer密码。

TeamViewer是专有软件应用程序，允许用户远程控制一系列智能设备，以执行文件传输，桌面共享和网络会议等功能。

由于存在漏洞CVE-2020-13699，Windows版TeamViewer桌面未正确引用其自定义URI处理程序。因此，攻击者可能迫使受害者发送NTLM身份验证请求，并中继该请求或捕获哈希以进行离线密码破解。

还可以说服受害者访问威胁者建立的特定网站，以窃取凭据或个人数据。

该漏洞的发现者Praetorian Jeffrey Hofmann的安全工程师解释说：“攻击者可以将恶意iframe嵌入具有特制URL的网站中，该URL会启动TeamViewer Windows桌面客户端，并迫使其打开远程SMB共享。”

根据Hofmann的说法，大多数Web浏览器都已设置为可防止发生此类攻击。

他说：“除Firefox URL外，每种现代浏览器在移交给URI处理程序时都会对空格进行编码，从而有效地防止了这种攻击。”

15.8.3之前的TeamViewer版本容易受到此漏洞的影响，该漏洞已在最新版本中修复。

Absolute Software副总裁 Andy Harcup 表示：“机会主义的网络攻击者总是会找出和利用某些软件和应用程序的安全漏洞，而这次最新曝光的漏洞可能会影响数百万Windows用户。

Harcup建议公司紧跟最新的安全更新，以保护其操作系统。

“为确保用户免受当前面临的网络攻击的侵扰，IT运营团队必须确保其系统保持最新状态，同时培训其员工以同时保持高度的在线警惕性和对互联网安全协议的意识。对于企业来说，重要的是要使操作系统保持最新的安全更新，以确保最大限度的保护。”