Zoom: исследователь безопасности обнаружил несколько слабых мест в процессе автоматического обновления

Было обнаружено, что Zoom имеет несколько недостатков безопасности. Благодаря процессу автоматического обновления хакеры могут восстановить контроль над машиной жертвы.

Опция автоматического обновления Zoom помогает пользователям всегда иметь последнюю версию своего программного обеспечения для видеоконференций, которое в последние годы страдало от ряда проблем с конфиденциальностью и безопасностью. Специалист по безопасности Mac обнаружил несколько недостатков в инструменте автоматического обновления , позволяющих злоумышленникам получить полный контроль над компьютером своей жертвы.

В Zoom обнаружены многочисленные недостатки безопасности

Патрик Уордл представил свои выводы на DefCon в этом году. Как сообщает Wired, раскрыты два из них. Первая была обнаружена при проверке подписи приложения, что позволяет проверить целостность установленного обновления, убедиться в его полной легитимности. Это не позволяет злоумышленнику заставить установщика поверить, что он может установить что угодно.

Через процесс автоматического обновления

Патрик Уордл обнаружил, что хакеры могут обойти проверку подписи, назвав свои файлы определенным образом. Оказавшись внутри, они могут получить root-доступ и управлять машиной своей жертвы. The Verge поясняет, что исследователь сообщил Zoom о существовании этой уязвимости в декабре 2021 года, но патч содержал другую уязвимость. Вторая уязвимость может позволить хакерам обойти защиту, установленную Zoom, чтобы убедиться, что в процессе обновления устанавливается последняя версия приложения. Патрик Уордл обнаружил, что можно обмануть инструмент распространения обновлений Zoom, чтобы он принял более старую версию программного обеспечения.

хакеры могут восстановить контроль над машиной жертвы

Zoom уже исправил этот недостаток, но эксперт обнаружил еще одну уязвимость, также представленную в ходе конференции. В какой-то момент между автоматической проверкой пакета установщиком и самим процессом установки в обновление может быть внедрен вредоносный код. Загруженный пакет, который необходимо установить, по-видимому, может сохранить исходные разрешения на чтение/запись, позволяя любому изменить их. Это означает, что даже пользователи без root-доступа могут делиться контентом с вредоносным кодом и получать контроль над целевой машиной.

Компания сообщила The Verge, что работает над исправлением этой новой уязвимости, обнаруженной экспертом. Как указывает Wired, злоумышленники уже должны иметь доступ к машине пользователя, чтобы использовать эти недостатки. Хотя непосредственной опасности для большинства пользователей нет, Zoom рекомендует всегда «оставаться в курсе последних версий» приложения. Это обеспечивает сквозное шифрование.