File Desktop Service Store (DS_STORE) dibiarkan duduk di server web yang dapat diakses publik milik Microsoft Vancouver dalam kegagalan keamanan yang signifikan bagi perusahaan, klaim laporan.
Seandainya file tersebut jatuh ke tangan aktor jahat, itu bisa digunakan untuk serangan siber atau malware (terbuka di tab baru) distribusi di seluruh web, karena menyimpan metadata yang mengarah ke dump database WordPress, nama pengguna administrator, dan alamat email (terbuka di tab baru)serta kata sandi hash untuk situs web Microsoft Vancouver.
Kerentanan itu ditemukan oleh peneliti keamanan siber dari CyberNews pada bulan September 2021, yang, saat menyelidiki mesin pencari Internet of Things (IoT) bawah tanah, menemukan file DS_STORE.
Keamanan gagal
Jenis file ini harus dijaga ketat, CyberNews mengatakan, saat mereka menampilkan struktur foldernya, yang dapat mengakibatkan kebocoran data sensitif atau rahasia.
File DS_STORE khusus ini memungkinkan para peneliti untuk dengan mudah melihat isi folder server, termasuk database SQL, file konfigurasi, dan file dump database. Para peneliti juga menemukan bahwa database SQL dan file dump, berisi dump database WordPress yang menyimpan banyak kredensial login admin, dan kata sandi admin yang di-hash (terbuka di tab baru) untuk situs web WordPress Microsoft Vancouver.
Microsoft lambat merespons
Kata sandi itu sendiri di-hash dengan MD5, yang menurut CyberNews telah “lama dikenal sebagai salah satu algoritme hashing yang paling tidak aman”, terutama untuk kata sandi. Seorang aktor jahat yang terampil akan membuat kata sandi tersebut bekerja dengan cepat dan akan berpindah melalui WordPress (terbuka di tab baru) situs sebagai administrator dalam waktu singkat.
Lebih buruk lagi, butuh “berminggu-minggu” bagi CyberNews untuk mendapatkan tanggapan dari Microsoft, dan sejak memperhatikan, perusahaan membutuhkan waktu hampir sebulan untuk memperbaiki masalah tersebut. Para peneliti mengatakan mereka dipaksa untuk menyenggol Microsoft melalui email kontak resmi, nomor telepon, serta email dukungan pelanggan, hanya untuk diperhatikan.
Meski begitu, masalah tersebut tampaknya telah diselesaikan.
Microsoft Vancouver adalah kantor perusahaan di mana tim yang berbeda mengerjakan produk seperti Notes, MSN, Skype, game Gears of War, serta beberapa aplikasi realitas campuran untuk desktop dan HoloLens.