Уязвимость в Zoom позволяла подключаться к чужим разговорам

28 января 2020 года

Логотип Zoom

Специалисты нашли уязвимость в Zoom, разрешающая подключение к чужим разговорам.

Исследователи из компании Check Point обнаружили в платформе для проведения видеоконференций Zoom уязвимость, позволявшую злоумышленникам без приглашения присоединяться к чужим разговорам и получать доступ ко всем данным и файлам, которыми обмениваются участники.

Каждый звонок в Zoom имеет свой идентификатор, состоящий из 9-11 случайных чисел. Идентификатор играет роль адреса, по которому участники конференции могут найти и присоединиться к нужному разговору. Исследователям Check Point удалось найти уязвимость, позволившую им в 4 % случаев подобрать действительный идентификатор звонка и присоединиться к конференции (исследователи не участвовали в разговорах и завершали звонок в «комнате ожидания»).

Правда, специалистам не удалось связать идентификатор с конкретным пользователем. Поэтому, даже если злоумышленнику удастся подключиться к чьему-то разговору, он не сможет знать заранее, к какому. Исследователи также не нашли подтверждений того, что у подключившегося к разговору злоумышленника будет доступ к камерам и микрофонам его участников.

Специалисты сообщили Zoom о проблеме, и она была быстро исправлена. Разработчики заменили идентификатор «криптографически более надежным», добавили в него больше чисел и сделали обязательным использование пароля для подключения к конференциям.

После исправления уязвимости осуществлять сканирование в поисках действительных идентификаторов, как это сделали специалисты Check Point, больше нельзя. При каждой попытке присоединиться к сеансу связи будет отображаться страница встречи, а после нескольких попыток устройство будет «забанено» платформой.

У программы и раньше находили проблемы с безопасностью.

В ноябре 2018 года обнаружили уязвимость безопасности (CVE-2018-15715), позволяющую удаленному неавторизованному злоумышленнику подделать UDP сообщения от участника собрания или сервера Zoom, чтобы задействовать функциональность целевого клиента, что позволяет злоумышленнику удалять посетителей с собраний, подделывать сообщения от пользователей или перехватывать общие экраны.

В июле 2019 года исследователь безопасности Джонатан Лейтшух раскрыл уязвимость нулевого дня, которая позволяет любому веб-сайту принудительно присоединять пользователя macOS к вызову Zoom с активированной видеокамерой без разрешения пользователя. После попытки удаления клиента Zoom в macOS программное обеспечение будет автоматически переустанавливаться в фоновом режиме, используя скрытый веб-сервер, который был установлен на компьютере во время первой установки и который остается активным после попытки удаления клиента. Zoom оперативно закрыл эту уязвимость.

Комментарии

Викиновости и Wikimedia Foundation не несут ответственности за любые материалы и точки зрения, находящиеся на странице и в разделе комментариев.

Мнения

Пожалуйста, прочтите правила общения и оформления реплик на портале Викиновости

Если вы хотите сообщить о проблеме в статье (например, фактическая ошибка и т. д.), пожалуйста, используйте обычную страницу обсуждения.

Комментарии на этой странице могут не соответствовать политике нейтральной точки зрения, однако, пожалуйста, придерживайтесь темы и попытайтесь избежать брани, оскорбительных или подстрекательных комментариев. Попробуйте написать такие комментарии, которые заставят задуматься, будут проницательными или спорными. Цивилизованная дискуссия и вежливый спор делают страницу комментариев дружелюбным местом. Пожалуйста, подумайте об этом.

Несколько советов по оформлению реплик:

• Новые темы начинайте, пожалуйста, снизу.
• Используйте символ звёздочки «*» в начале строки для начала новой темы. Далее пишите свой текст.
• Для ответа в начале строки укажите на одну звёздочку больше, чем в предыдущей реплике.
• Пожалуйста, подписывайте все свои сообщения, используя четыре тильды (~~~~). При предварительном просмотре и сохранении они будут автоматически заменены на ваше имя и дату.

Обращаем ваше внимание, что комментарии не предназначены для размещения ссылок на внешние ресурсы не по теме статьи, которые могут быть удалены или скрыты любым участником. Тем не менее, на странице комментариев вы можете сообщить о статьях в СМИ, которые ссылаются на эту заметку, а также о её обсуждении на сторонних ресурсах.

Добавить комментарий