Jonathan Leitschuh apenas relatou “uma vulnerabilidade no cliente Mac Zoom" que permite "qualquer site malicioso para permitir sua câmera sem a sua permissão”. O problema conhecido sob CVE-2019-13450 potencialmente coloca em risco até 750,000 empresas de todo o mundo que usam Zoom para realizar dia-a-dia de negócios, Leitschuh disse em um post Médio.
o CVE-2019-13450 vulnerabilidade está presente mesmo quando o usuário Mac desinstalou o cliente Zoom, tornando possível para um atacante remoto para ativar a webcam do dispositivo. Por que isso é tão ameaçador? Porque Zoom é uma das plataformas mais conhecidos baseados em nuvem para vídeo, compartilhamento de áudio e tela. A plataforma é amplamente adotado por empresas em todo o mundo, pois permite webinars, Cursos online, Encontros, Treinamento, etc.
Contudo, o aplicativo cliente Zoom para computadores Mac pode permitir que atacantes para executar código remoto arbitrário. Note-se que este ataque é possível se for acorrentado com uma vulnerabilidade separado. As duas vulnerabilidades são os seguintes:
Vulnerabilidade DOS - Corrigido na versão cliente 4.4.2 - CVE-2019-13449
Divulgação de informação (Webcam)- Unpatched -CVE-2019-13450
disse brevemente, o problema é decorrente do recurso clique para adesão que foi projetado para automaticamente ativar o zoom tornando assim possível para os usuários a rapidamente aderir a uma reunião de vídeo usando o seu navegador web. “Esta vulnerabilidade aproveita o recurso incrivelmente simples Zoom onde você pode apenas enviar alguém um link reunião (por exemplo https://zoom.us/j/492468757) e quando abrir esse link no seu navegador seu cliente Zoom é magicamente aberto em sua máquina local,”Explica a pesquisadora.
Como declarado, a ação somente necessário é a clicar em um link de convite. O que o pesquisador descobriu é que a característica mencionada precisa de um servidor web local no sistema em porta 19421. O porto recebe comandos via HTTPS GET e qualquer site no navegador do usuário pode interagir com ele. Este comportamento é bastante inseguro.
Como Can CVE-2019-13450 ser explorada contra os usuários de Mac?
A única coisa que um invasor teria que fazer é criar uma ligação através de uma conta convide no site da Zoom e incorporá-lo em um site de terceiros como uma tag de imagem ou através de iFrame. Em seguida, o invasor precisa convencer o alvo para visitar que determinado site.
O que Zoom fazer para proteger seus usuários? Pelo visto, a empresa não foi eficiente em suas ações, como por evidente O post de Leitschuh:
Esta vulnerabilidade foi originalmente responsável divulgado em março 26, 2019. Este relatório inicial incluiu uma descrição proposta de uma ‘solução rápida’ Zoom poderia ter implementado simplesmente mudando sua lógica servidor. Levou Zoom 10 dias para confirmar a vulnerabilidade. O primeiro encontro real sobre como a vulnerabilidade seria corrigido ocorreu em 11 de junho, 2019, só 18 dias antes do fim do prazo de divulgação pública de 90 dias. Durante esta reunião, os detalhes da vulnerabilidade foram confirmados e solução planejada de Zoom foi discutido. Contudo, Fiquei muito facilmente capazes de detectar e descrever bypasses na sua correção planejada. Neste ponto, Zoom ficou com 18 dias para resolver a vulnerabilidade. Em 24 de junho depois 90 dias de espera, o último dia antes do prazo de divulgação pública, Eu descobri que Zoom tinha apenas implementou a solução ‘solução rápida’ inicialmente sugerido.
Como observado pelo pesquisador, a vulnerabilidade é definitivamente uma falha zero-day, que não tenha sido fixo no período de 90 dias divulgação, que é o “padrão da indústria”. Isso deixa mais de 4 milhões de usuários do Zoom no Mac vulneráveis ao bug privacidade sério.
Contudo, os usuários ainda podem abordar a questão-se desabilitando a capacidade de zoom para ativar o webcam quando participar de uma reunião. Há também um terminal de comando que pode ser usado:
# Por apenas sua conta local
defaults write ~ / Library / Preferences / ZDisableVideo us.zoom.config.plist 1
# Para todos os usuários na máquina
defaults sudo escrever /Library/Preferences/us.zoom.config.plist ZDisableVideo 1
Milena Dimitrova
Um escritor inspirado e gerente de conteúdo que está com SensorsTechForum desde o início do projeto. Um profissional com 10+ anos de experiência na criação de conteúdo envolvente. Focada na privacidade do usuário e desenvolvimento de malware, ela acredita fortemente em um mundo onde a segurança cibernética desempenha um papel central. Se o senso comum não faz sentido, ela vai estar lá para tomar notas. Essas notas podem mais tarde se transformar em artigos! Siga Milena @Milenyim
Me siga: