Jonathan Leitschuh nur berichtet „eine Schwachstelle in dem Mac-Client Zoom" das erlaubt "jede bösartige Website Ihre Kamera ohne Ihre Erlaubnis zu ermöglichen". Das Problem bekannt unter CVE-2.019-13.450 stellt potenziell gefährdet bis zu 750,000 Unternehmen auf der ganzen Welt, den Zoom verwendet, von Tag zu Tag zu verabreden, Leitschuh said in a Medium post.
Die CVE-2019-13450 Verwundbarkeit vorhanden ist, selbst wenn der Mac-Benutzer des Zoom-Client deinstalliert, es möglich, dass ein Angreifer über das Netzwerk macht das Gerät der Webcam zu aktivieren. Warum ist dies so bedrohlich? Da ist Zoom eine der bekanntesten Cloud-basierten Plattformen für Video, Audio- und Bildschirmfreigabe. Die Plattform wird von Unternehmen auf der ganzen Welt weit ab, weil sie Webinare ermöglicht, Online Kurse, Treffen, Ausbildung, etc.
Jedoch, die Zoom-Client-Anwendung für Mac-Computer können Angreifer remote beliebigen Code auszuführen. Es soll beachtet werden, dass dieser Angriff möglich ist, wenn es mit einer separaten Verwundbarkeit gekettet ist. Die beiden Schwachstellen sind die folgenden:
DOS-Sicherheitsanfälligkeit - behoben Client Version 4.4.2 - CVE-2019-13449
Offenlegung von Informationen (Webcam)- ungepatchten -CVE-2.019-13.450
Kurz gesagt, Das Problem ist, die sich aus der Click-to-Join-Funktion, die es somit automatisch aktivieren Zoom machen können Benutzer schnell zu verbinden, um eine Videokonferenz mit ihrem Web-Browser entwickelt wurde. „Diese Schwachstelle nutzt die verblüffend einfache Zoom-Funktion, wo Sie gerade jemand ein Treffen Link schicken (zum Beispiel https://zoom.us/j/492468757) und wenn sie diesen Link in Ihrem Browser ihres Zoom-Client öffnen wird auf magische Weise auf ihrem lokalen Rechner geöffnet,“Der Forscher erklärt.
Wie angegeben, die einzige benötigte Aktion ist auf eine Einladung Link zu klicken. Was die Forscher entdeckt, dass die genannte Funktion eines lokalen Webserver auf dem System muss auf Port 19421. Der Port empfängt Befehle über HTTPS GET und jede Website in den Browser des Benutzers kann mit ihr zu interagieren. Dieses Verhalten ist eher unsicher.
Wie kann CVE-2019-13450 gegen Mac-Benutzer genutzt werden?
Das einzige, was ein Angreifer würde tun müssen, ist eine Verbindung über ein Konto auf Zoom Webseite und betten sie auf einer Website Dritter als Image-Tag oder via iFrame laden erstellen. Dann müßte der Angreifer das Ziel zu überzeugen, dass bestimmte Website zu besuchen.
Was hat Zoom tun, um seine Nutzer zu sichern? Offenbar, das Unternehmen war nicht effizient in ihren Aktionen, Wie offensichtlich durch Leitschuh’s post:
Diese Sicherheitsanfälligkeit wurde ursprünglich verantwortungsvoll offenbart am März 26, 2019. Dieser erste Bericht enthielt eine vorgeschlagene Beschreibung eines ‚schnelle Lösung‘ Zoom hat, indem einfach ihre Serverlogik implementiert könnte. Es dauerte Zoom 10 Tage, um die Verwundbarkeit zu bestätigen. Die erste eigentliche Sitzung darüber, wie würde die Verwundbarkeit gepatcht werden ereignete sich am 11. Juni, 2019, nur 18 Tage vor dem Ende der 90-Tage-Veröffentlichung Frist. Während dieses Treffens, die Einzelheiten der Verwundbarkeit wurden bestätigt und geplante Lösung des Zoom diskutiert. Jedoch, Ich war sehr leicht in der Lage zu erkennen und beschreiben Bypässe in ihrer geplanten fix. An dieser Stelle, Zoom wurde links mit 18 Tage, um die Verwundbarkeit zu lösen. Am 24. Juni nach 90 Tage des Wartens, der letzte Tag vor der Veröffentlichung Frist, Ich entdeckte, dass Zoom hatte nur die ‚schnelle Lösung‘ Lösung implementiert ursprünglich vorgeschlagen.
Wie durch die Forscher festgestellt,, die Anfälligkeit ist auf jeden Fall eine Zero-Day-Schwachstelle, die hat in dem 90-Tage-Fest Offenlegung Zeitraum nicht, das ist der „Industriestandard“. So bleibt mehr als 4 Millionen Nutzer von Zoom auf Mac anfällig für die schweren Privatsphäre Bug.
Jedoch, Benutzer können immer noch das Problem, sich durch Deaktivieren der Fähigkeit Zoom-Adresse auf der Webcam einzuschalten, wenn ein Treffen Beitritt. Es gibt auch einen Terminal-Befehl, der verwendet werden kann,:
# Für nur Ihr lokales Konto
defaults write ~ / Library / Preferences / us.zoom.config.plist ZDisableVideo 1
# Für alle Benutzer auf der Maschine
sudo defaults write /Library/Preferences/us.zoom.config.plist ZDisableVideo 1
Milena Dimitrova
Ein begeisterter Autor und Content Manager, der seit Projektbeginn bei SensorsTechForum ist. Ein Profi mit 10+ jahrelange Erfahrung in der Erstellung ansprechender Inhalte. Konzentriert sich auf die Privatsphäre der Nutzer und Malware-Entwicklung, sie die feste Überzeugung, in einer Welt, in der Cybersicherheit eine zentrale Rolle spielt. Wenn der gesunde Menschenverstand macht keinen Sinn, sie wird es sich Notizen zu machen. Diese Noten drehen können später in Artikel! Folgen Sie Milena @Milenyim
Folge mir: