Ένα ζευγάρι ερευνητών ασφαλείας αποκάλυψε πολλές 0day ευπάθειες στο Zoom τις τελευταίες ημέρες που θα επέτρεπαν στους hacker να αναλάβουν τον υπολογιστή κάποιου, ακόμη και αν το θύμα δεν κάνει κανένα κλικ.
Η Zoom ανέφερε στο Gizmodo ότι κυκλοφόρησε μια ενημέρωση (server side) για την αντιμετώπιση των τρωτών σημείων την Παρασκευή και ότι οι χρήστες δεν χρειάζεται να κάνουν κάτι.
Οι ευπάθειες εντοπίστηκαν από τους Ολλανδούς ερευνητές Daan Keuper και Thijs Alkemade από την Computest Security, μια εταιρεία ασφάλειας, ως μέρος του διαγωνισμού Pwn2Own 2021 που διοργανώθηκε από την πρωτοβουλία Zero Day Initiative. Αν και δεν είναι γνωστές πολλές λεπτομέρειες για αυτές τις ευπάθειες λόγω της πολιτικής του διαγωνισμού, στην ουσία, οι ερευνητές χρησιμοποίησαν μια αλυσίδα τριών σφαλμάτων στην εφαρμογή Zoom για επιτραπέζιους υπολογιστές για να πραγματοποιήσουν μια απομακρυσμένη εκτέλεση κώδικα στο σύστημα προορισμού.
Ο χρήστης δεν πρέπει να κάνει κάποιο κλικ για να επιτύχει η επίθεση. Μπορείτε να δείτε το σφάλμα παρακάτω.
We're still confirming the details of the #Zoom exploit with Daan and Thijs, but here's a better gif of the bug in action. #Pwn2Own #PopCalc pic.twitter.com/nIdTwik9aW
— Zero Day Initiative (@thezdi) April 7, 2021
Σε μια δήλωση σχετικά με τη νίκη του Keuper και του Alkemade, η Computest Security ανέφερε ότι οι ερευνητές ήταν σε θέση να αναλάβουν σχεδόν πλήρως τα στοχευμένα συστήματα, εκτελώντας ενέργειες όπως ενεργοποίηση της κάμερας, ενεργοποίηση του μικροφώνου, ανάγνωση email, έλεγχος της οθόνης και λήψη ιστορικού του προγράμματος περιήγησης .
Σε περίπτωση που το ξεχάσατε, η Zoom δεν ήταν πέρυσι το συνώνυμο της ασφάλειας. Υπήρξαν Zoom Bombings που εκμεταλλευόταν τα τότε χαλαρά μέτρα ελέγχου της Zoom για να ρίξουν αποσπάσματα πορνό και ναζιστικά συνθήματα σε online συνεδρίες.
