Ứng dụng hội nghị video phổ biến Zoom gần đây đã sửa một lỗ hổng bảo mật mới có thể cho phép kẻ tấn công tiềm năng bẻ khóa mật mã số được sử dụng để bảo mật các cuộc họp riêng tư trên nền tảng và rình mò người tham gia.
Các cuộc họp thu phóng theo mặc định được bảo vệ bằng mật khẩu số gồm sáu chữ số, nhưng theo Tom Anthony, VP Product tại SearchPilot, người xác định vấn đề, việc thiếu giới hạn tốc độ cho phép “kẻ tấn công thử tất cả 1 triệu mật khẩu trong vài phút và có quyền truy cập vào các cuộc họp Thu phóng riêng tư (được bảo vệ bằng mật khẩu) của người khác”.
Đáng chú ý là Zoom bắt đầu yêu cầu mật mã cho tất cả các cuộc họp trở lại vào tháng Tư như một biện pháp phòng ngừa để chống lại các cuộc tấn công ném bom Zoom, trong đó đề cập đến hành động phá rối và chiếm quyền điều khiển các cuộc họp Zoom không được mời để chia sẻ nội dung tục tĩu và phân biệt chủng tộc.
Anthony đã báo cáo vấn đề bảo mật cho công ty vào ngày 1 tháng 4 năm 2020, cùng với một kịch bản bằng chứng khái niệm dựa trên Python, một tuần sau khi Zoom vá lỗ hổng vào ngày 9 tháng 4.
Thực tế là các cuộc họp theo mặc định được bảo mật bằng mã sáu chữ số có nghĩa là chỉ có thể có tối đa một triệu mật khẩu.
Nhưng trong trường hợp không kiểm tra các lần thử mật khẩu không chính xác, kẻ tấn công có thể tận dụng ứng dụng web của Zoom (https://zoom.us/j/MEETING_ID) để liên tục gửi yêu cầu HTTP để thử tất cả một triệu kết hợp.
“Với việc phân luồng được cải thiện và phân phối trên 4-5 máy chủ đám mây, bạn có thể kiểm tra toàn bộ không gian mật khẩu trong vài phút,” Anthony nói.
Cuộc tấn công đã làm việc với các cuộc họp định kỳ, ngụ ý rằng các diễn viên xấu có thể đã có quyền truy cập vào các cuộc họp đang diễn ra một khi mật mã bị bẻ khóa.
Nhà nghiên cứu cũng phát hiện ra rằng quy trình tương tự có thể được lặp lại ngay cả với các cuộc họp theo lịch, có tùy chọn ghi đè mật mã mặc định bằng biến thể chữ và số dài hơn và chạy theo danh sách 10 triệu mật khẩu hàng đầu để bắt buộc đăng nhập.
Một cách riêng biệt, một vấn đề đã được phát hiện trong quá trình đăng nhập bằng ứng dụng web, ứng dụng chuyển hướng tạm thời để tìm kiếm sự đồng ý của khách hàng đối với các điều khoản dịch vụ và chính sách bảo mật của nó.
“Có một tiêu đề HTTP CSRF được gửi trong bước này, nhưng nếu bạn bỏ qua nó thì yêu cầu vẫn có vẻ vẫn hoạt động tốt,” Anthony nói. “Thất bại trên mã thông báo CSRF khiến việc lạm dụng trở nên dễ dàng hơn so với cách khác, nhưng sửa lỗi sẽ không cung cấp nhiều sự bảo vệ chống lại cuộc tấn công này.”
Sau những phát hiện, Zoom đã đưa khách hàng web ngoại tuyến để giảm thiểu các sự cố vào ngày 2 tháng 4 trước khi đưa ra bản sửa lỗi một tuần sau đó.
Nền tảng hội nghị truyền hình, đã thu hút sự chú ý của một số vấn đề bảo mật khi việc sử dụng của nó tăng vọt trong đại dịch coronavirus, đã nhanh chóng vá các lỗ hổng khi chúng được phát hiện, thậm chí sẽ đến mức thông báo đóng băng 90 ngày về việc phát hành các tính năng mới để “xác định tốt hơn, giải quyết vấn đề và chủ động khắc phục các vấn đề”.
Mới đầu tháng này, công ty đã giải quyết một lỗ hổng zero-day trong ứng dụng Windows có thể cho phép kẻ tấn công thực thi mã tùy ý trên máy tính của nạn nhân chạy Windows 7 trở lên.
Nó cũng sửa một lỗ hổng riêng điều đó có thể cho phép những kẻ tấn công bắt chước một tổ chức và lừa nhân viên hoặc đối tác kinh doanh của nó tiết lộ thông tin cá nhân hoặc thông tin bí mật khác thông qua các cuộc tấn công kỹ thuật xã hội.
