Ứng dụng hội nghị truyền hình nổi tiếng Zoom đã giải quyết một số lỗ hổng bảo mật, hai trong số đó ảnh hưởng đến ứng dụng Linux của nó, có thể cho phép kẻ tấn công có quyền truy cập vào hệ thống bị xâm nhập để đọc và lấy dữ liệu người dùng Zoom — và thậm chí chạy phần mềm độc hại lén lút như một quy trình phụ của ứng dụng đáng tin cậy.
Theo nhà nghiên cứu an ninh mạng Mazin Ahmed, WHO trình bày những phát hiện của anh ấy tại DEF CON 2020 ngày hôm qua, công ty cũng đã để lộ một phiên bản phát triển bị định cấu hình sai mà chưa được cập nhật kể từ tháng 9 năm 2019, cho thấy máy chủ có thể dễ mắc phải các lỗi chưa được vá.
Sau khi Ahmed báo cáo riêng các vấn đề với Zoom vào tháng 4 và sau đó vào tháng 7, công ty đã đưa ra bản sửa lỗi vào ngày 3 tháng 8 (phiên bản 5.2.4).
Điều đáng chú ý là để một số cuộc tấn công này xảy ra, kẻ tấn công cần phải đã xâm nhập thiết bị của nạn nhân bằng các phương thức khác. Nhưng điều đó không làm mất đi tầm quan trọng của những sai sót.
Trong một tình huống, Ahmed đã phát hiện ra một vấn đề với Trình khởi chạy thu phóng cho Linux có thể cho phép kẻ thù chạy phần mềm trái phép do cách nó khởi chạy tệp thực thi “thu phóng”.
Ahmed nói trong một phân tích: “Điều này phá vỡ tất cả sự bảo vệ của danh sách cho phép ứng dụng, cho phép phần mềm độc hại chạy như một quy trình con của một nhà cung cấp đáng tin cậy (Zoom) và là một phương pháp thiết kế / bảo mật tồi.
Đó không phải là tất cả. Tương tự, kẻ tấn công có quyền truy cập vào máy của nạn nhân có thể đọc và lấy dữ liệu và cấu hình của người dùng Zoom bằng cách điều hướng đến cơ sở dữ liệu cục bộ và thậm chí truy cập tin nhắn trò chuyện được lưu trữ trên hệ thống dưới dạng bản rõ.
Hai lỗ hổng khác liên quan đến dịch vụ xác thực Kerberos có thể truy cập bên ngoài (“ca01.idm.meetzoom.us”) và sự cố TLS / SSL cho phép phần mềm độc hại đưa dấu vân tay chứng chỉ tùy chỉnh vào cơ sở dữ liệu Zoom cục bộ.
“Đây là cách ghim chứng chỉ cho mỗi người dùng và cố ý cho phép người dùng cho phép các chứng chỉ tùy chỉnh”, Zoom nói về lỗ hổng chèn chứng chỉ. “Người dùng có thể ghi vào cơ sở dữ liệu của riêng họ, nhưng không người dùng không phải root nào khác có thể. Cách tốt nhất là để các ứng dụng của người dùng chạy ở cấp đặc quyền của họ, vì việc yêu cầu Zoom chạy với quyền root sẽ gây ra những rủi ro bảo mật không cần thiết cho Zoom và khách hàng của chúng tôi . “
Nhưng nó trở nên thú vị hơn. Ahmed tiếp tục làm nổi bật lỗ hổng rò rỉ bộ nhớ bằng cách khai thác tính năng ảnh hồ sơ trên Zoom để tải lên ảnh GIF độc hại, tải xuống tệp được kết xuất và trích xuất dữ liệu từ đó để rò rỉ một phần bộ nhớ hệ thống.
“Sau một cuộc điều tra nội bộ, chúng tôi đã kết luận rằng hành vi đó không phải là rò rỉ bộ nhớ mà chỉ là nỗ lực tốt nhất của tiện ích hình ảnh của chúng tôi trong việc chuyển đổi một gif không đúng định dạng thành một jpeg”, công ty cho biết.
Mặc dù Ahmed tin rằng đây là hậu quả của một lỗ hổng đã biết trong ImageMagick phần mềm chuyển đổi hình ảnh (CVE-2017-15277), Zoom cho biết họ không sử dụng tiện ích này để chuyển đổi các ảnh GIF được tải lên dưới dạng ảnh hồ sơ sang định dạng JPEG.
Để đáp lại những tiết lộ, Zoom đã gỡ bỏ máy chủ xác thực Kerberos bị lộ để ngăn chặn các cuộc tấn công brute-force, đồng thời thừa nhận rằng nó đang làm việc để giải quyết việc thiếu mã hóa trong khi lưu trữ nhật ký trò chuyện.
Người dùng nên cập nhật Zoom lên phiên bản mới nhất để giảm thiểu mọi rủi ro phát sinh từ những vấn đề này.
Sự phát triển đến như công ty đã giải quyết một lỗ hổng bảo mật tháng trước. Nó cho phép những kẻ tấn công bẻ khóa mật mã số được sử dụng để bảo mật các cuộc họp riêng tư trên nền tảng và nghe trộm những người tham gia.
