Уязвимость в Zoom позволяла подключаться к чужим разговорам

28 января 2020 года

Логотип Zoom

Специалисты нашли уязвимость в Zoom, разрешающая подключение к чужим разговорам.

Исследователи из компании Check Point обнаружили в платформе для проведения видеоконференций Zoom уязвимость, позволявшую злоумышленникам без приглашения присоединяться к чужим разговорам и получать доступ ко всем данным и файлам, которыми обмениваются участники.

Каждый звонок в Zoom имеет свой идентификатор, состоящий из 9-11 случайных чисел. Идентификатор играет роль адреса, по которому участники конференции могут найти и присоединиться к нужному разговору. Исследователям Check Point удалось найти уязвимость, позволившую им в 4 % случаев подобрать действительный идентификатор звонка и присоединиться к конференции (исследователи не участвовали в разговорах и завершали звонок в «комнате ожидания»).

Правда, специалистам не удалось связать идентификатор с конкретным пользователем. Поэтому, даже если злоумышленнику удастся подключиться к чьему-то разговору, он не сможет знать заранее, к какому. Исследователи также не нашли подтверждений того, что у подключившегося к разговору злоумышленника будет доступ к камерам и микрофонам его участников.

Специалисты сообщили Zoom о проблеме, и она была быстро исправлена. Разработчики заменили идентификатор «криптографически более надежным», добавили в него больше чисел и сделали обязательным использование пароля для подключения к конференциям.

После исправления уязвимости осуществлять сканирование в поисках действительных идентификаторов, как это сделали специалисты Check Point, больше нельзя. При каждой попытке присоединиться к сеансу связи будет отображаться страница встречи, а после нескольких попыток устройство будет «забанено» платформой.

У программы и раньше находили проблемы с безопасностью.

В ноябре 2018 года обнаружили уязвимость безопасности (CVE-2018-15715), позволяющую удаленному неавторизованному злоумышленнику подделать UDP сообщения от участника собрания или сервера Zoom, чтобы задействовать функциональность целевого клиента, что позволяет злоумышленнику удалять посетителей с собраний, подделывать сообщения от пользователей или перехватывать общие экраны.

В июле 2019 года исследователь безопасности Джонатан Лейтшух раскрыл уязвимость нулевого дня, которая позволяет любому веб-сайту принудительно присоединять пользователя macOS к вызову Zoom с активированной видеокамерой без разрешения пользователя. После попытки удаления клиента Zoom в macOS программное обеспечение будет автоматически переустанавливаться в фоновом режиме, используя скрытый веб-сервер, который был установлен на компьютере во время первой установки и который остается активным после попытки удаления клиента. Zoom оперативно закрыл эту уязвимость.

Источники править


Комментарии

Викиновости и Wikimedia Foundation не несут ответственности за любые материалы и точки зрения, находящиеся на странице и в разделе комментариев.