Powiększenie: badacz ds. bezpieczeństwa znajduje wiele słabych punktów w procesie automatycznej aktualizacji

Stwierdzono, że Zoom ma kilka luk w zabezpieczeniach. Dzięki automatycznemu procesowi aktualizacji hakerzy mogą odzyskać kontrolę nad maszyną ofiary.

Opcja automatycznej aktualizacji Zoom pomaga użytkownikom zawsze mieć najnowszą wersję ich oprogramowania do wideokonferencji, które w ostatnich latach ucierpiało z powodu wielu problemów związanych z prywatnością i bezpieczeństwem. Specjalista ds. bezpieczeństwa komputerów Mac znalazł kilka luk w narzędziu do automatycznej aktualizacji , które umożliwiłyby atakującym przejęcie pełnej kontroli nad komputerem ofiary.

Wiele luk w zabezpieczeniach znalezionych w Zoom

Patrick Wardle przedstawił swoje odkrycia na tegorocznym DefCon. Według serwisu Wired ujawniono dwa z nich. Pierwszy został wykryty podczas weryfikacji sygnatury aplikacji, która pozwala zweryfikować integralność zainstalowanej aktualizacji, aby zapewnić jej pełną legalność. Uniemożliwia to atakującemu przekonanie instalatora, że ​​może zainstalować wszystko.

Poprzez proces automatycznej aktualizacji

Patrick Wardle odkrył, że hakerzy mogą ominąć weryfikację podpisu, nazywając swoje pliki w określony sposób. Po wejściu do środka mogą uzyskać dostęp do konta root i kontrolować maszynę ofiary. The Verge wyjaśnia, że ​​badacz zgłosił Zoomowi istnienie tej luki w grudniu 2021 r., ale łatka zawierała inną lukę. Druga luka może pozwolić hakerom na ominięcie zabezpieczeń wprowadzonych przez Zoom, aby upewnić się, że proces aktualizacji instaluje najnowszą wersję aplikacji. Patrick Wardle odkrył, że można oszukać narzędzie do dystrybucji aktualizacji Zoom, aby zaakceptowało starszą wersję oprogramowania.

hakerzy mogą odzyskać kontrolę nad maszyną ofiary

Zoom naprawił już to niedociągnięcie, ale ekspert odkrył kolejną lukę, również zaprezentowaną podczas konferencji. W pewnym momencie pomiędzy automatycznym instalatorem sprawdzającym pakiet a samym procesem instalacji, do aktualizacji może zostać wstrzyknięty złośliwy kod. Pobrany pakiet, który należy zainstalować, najwyraźniej zachowuje oryginalne uprawnienia do odczytu/zapisu, umożliwiając każdemu ich zmianę. Oznacza to, że nawet użytkownicy bez uprawnień administratora mogą udostępniać zawartość ze złośliwym kodem i przejąć kontrolę nad maszyną docelową.

Firma powiedziała The Verge, że pracuje nad łatką dla tej nowej luki odkrytej przez eksperta. Jak wskazuje Wired, osoby atakujące muszą już mieć dostęp do komputera użytkownika, aby wykorzystać te luki. Chociaż dla większości użytkowników nie ma bezpośredniego zagrożenia, Zoom zaleca, aby zawsze „być na bieżąco z najnowszą wersją” aplikacji. Pozwala to na szyfrowanie typu end-to-end.