ИТ / Новости
информбезопасность события
5.6.2020

В Zoom нашли две критические уязвимости

В апреле и мае 2020 года специалисты компании по информационной безопасности Cisco Talos обнаружили в Zoom две критические уязвимости.

Благодаря этим проблемам удаленный злоумышленник мог проникнуть в систему любого из участников группового звонка, говорят в компании.

Обе найденные проблемы представляли собой баги типа path traversal, и их можно было использовать для внедрения произвольных файлов в уязвимые системы с целью выполнения вредоносного кода. По словам исследователей, эксплуатация этих проблем требовала весьма ограниченного взаимодействия с пользователями чата, к примеру, было достаточно отправить конкретному человеку или группе специально созданное сообщение.

Первая уязвимость связана с тем, что Zoom использует сервис Giphy, недавно приобретенный компанией Facebook, чтобы пользователи могли искать и обмениваться в чате анимированными файлами GIF. Как оказалось, Zoom не проверяет, загружается GIF с серверов Giphy или нет, то есть злоумышленник мог встраивать в сообщения файлы GIF со стороннего сервера, которые Zoom кэширует и сохраняет по умолчанию в системе пользователя, в связанной с приложением папке, поэтому злоумышленники могли добиться обхода каталога.

Вторая уязвимость, связана с удаленным выполнением кода. Проблема заключалась в том, как Zoom обрабатывает сниппеты кода, передаваемые в чате. Вредоносный код, мог передаваться клиенту сервиса в форме ZIP-архива. Далее этот архив распаковывается на ПК жертвы, причем в ходе этого процесса нет проверки на наличие внутри архива вредоносного кода. Это позволяет злоумышленнику осуществить передачу и установку двоичного файла на атакуемый им компьютер.

Эксперты Cisco Talos сообщают, что разработчики Zoom исправили обе критические уязвимости.

Изображение: пресс-служба Zoom

Еще по теме

За счет чего российская цифровая техника будет востребована за рубежом

Как изменились подходы и скорость цифровизации за последние 20 лет

Почему будущих специалистов по информбезопасности разбирают еще со школы

Новые схемы интернет-мошенников и как им противостоять

Почему буксует импортозамещение электронных компонентов

Почему рынок коммерческих дата-центров нуждается в регулировании

Что ждет начинающего тестировщика в 2024 году

Как найти перспективные зарубежные рынки для российских решений

Какие угрозы несет интернет тел человечеству

Успеют ли банки заменить импортный софт и оборудование до 2025 года

Зачем компании вкладывают деньги в ИТ-состязания?

Импортозамещение и внутренняя разработка ПО в страховании

Почему рынок информационных технологий РФ возвращается к классической дистрибуции

Что сделано и не сделано в цифровизации России за 2023 год

Как заботу о вычислениях переложить на вендоров и почему не все к этому готовы