JonathanLeitschuhは次のように報告しました。MacZoomクライアントの脆弱性」を可能にするあなたの許可なしにあなたのカメラを有効にする悪意のあるウェブサイト」. CVE-2019-13450で知られている問題は、最大でリスクにさらされる可能性があります 750,000 Zoomを使用して日常業務を行っている世界中の企業, Leitschuhは中程度の投稿で言った.
The CVE-2019-13450 MacユーザーがZoomクライアントをアンインストールした場合でも脆弱性が存在する, リモートの攻撃者がデバイスのWebカメラをアクティブ化できるようにする. なぜこれがとても脅威的なのですか? Zoomは、ビデオ用の最もよく知られているクラウドベースのプラットフォームの1つであるため, オーディオと画面の共有. このプラットフォームは、ウェビナーを可能にするため、世界中の企業に広く採用されています, オンラインコース, 会議, トレーニング, 等.
でも, Macコンピュータ用のZoomクライアントアプリは、攻撃者がリモートの任意のコードを実行できるようにする可能性があります. この攻撃は、別の脆弱性と連鎖している場合に発生する可能性があることに注意してください。. 2つの脆弱性は次のとおりです:
DOSの脆弱性—クライアントバージョン4.4.2で修正— CVE-2019–13449
情報開示 (ウェブカメラ)—パッチが適用されていない—CVE-2019–13450
すぐに言った, この問題は、ズームを自動的にアクティブ化するように設計されたクリックして参加する機能に起因しているため、ユーザーはWebブラウザを使用してビデオ会議にすばやく参加できます。. 「この脆弱性は、誰にでも会議リンクを送信できる驚くほどシンプルなズーム機能を利用しています。 (たとえばhttps://Zoom.us/j/492468757) ブラウザでそのリンクを開くと、Zoomクライアントがローカルマシンで魔法のように開かれます,」研究者は説明した.
述べたように, 必要なアクションは、招待リンクをクリックすることだけです。. 研究者が発見したのは、言及された機能にはシステム上のローカルWebサーバーが必要であるということです。 ポート 19421. ポートはHTTPSGETを介してコマンドを受信し、ユーザーのブラウザ内の任意のWebサイトがポートと対話できます. この動作はかなり安全ではありません.
CVE-2019-13450をMacユーザーに対してどのように悪用できるか?
攻撃者がしなければならない唯一のことは、ZoomのWebサイトのアカウントを介して招待リンクを作成し、それを画像タグとして、またはiFrameを介してサードパーティのWebサイトに埋め込むことです。. 次に、攻撃者はその特定のWebサイトにアクセスするようにターゲットを説得する必要があります.
ユーザーを保護するためにZoomは何をしましたか? どうやら, 会社はその行動において効率的ではありませんでした, によって明らかなように Leitschuhの投稿:
この脆弱性は、もともと3月に責任を持って開示されました 26, 2019. この最初のレポートには、サーバーロジックを変更するだけでZoomが実装できた「クイックフィックス」の提案された説明が含まれていました。. ズームがかかりました 10 脆弱性を確認するための日数. 脆弱性にパッチを適用する方法についての最初の実際の会議は、6月11日に行われました。, 2019, それだけ 18 90日間の公開期限終了の数日前. この会議中, 脆弱性の詳細が確認され、Zoomの計画されたソリューションが議論されました. でも, 計画された修正でバイパスを簡単に見つけて説明することができました. この時点で, ズームは残されました 18 脆弱性を解決するための日数. 6月24日以降 90 待つ日数, 公開期限前の最終日, Zoomが最初に提案した「クイックフィックス」ソリューションのみを実装していたことを発見しました.
研究者が指摘したように, 脆弱性は間違いなくゼロデイ欠陥です, 90日間の開示期間で修正されていない, これが「業界標準」です. これは以上を残します 4 深刻なプライバシーバグに対して脆弱なZoomonMacの100万人のユーザー.
でも, ユーザーは、会議に参加するときにZoomがWebカメラをオンにする機能を無効にすることで、問題に自分で対処できます。. 使用できるターミナルコマンドもあります:
# ローカルアカウントのみ
デフォルトでは、書き込み〜/ Library / Preferences / us.zoom.config.plist ZDisableVideo 1
# マシン上のすべてのユーザーの場合
sudoのデフォルトはwrite/Library/Preferences/us.zoom.config.plistZDisableVideo 1
ミレーナ・ディミトロワ
プロジェクトの開始以来SensorsTechForumに所属しているインスピレーションを得たライター兼コンテンツマネージャー. の専門家 10+ 魅力的なコンテンツの作成における長年の経験. ユーザーのプライバシーとマルウェア開発に焦点を当てています, 彼女はサイバーセキュリティが中心的な役割を果たす世界を強く信じています. 常識が意味をなさない場合, 彼女はメモを取るためにそこにいます. それらのメモは後で記事になる可能性があります! Milena@Milenyimをフォローする
フォローしてください: