國外研究人員發(fā)現(xiàn)Zoom中存在多個安全漏洞
Zoom是流行的視頻會議應(yīng)用程序,發(fā)展迅速,到2020年6月份左右已超過2億人次,但是該應(yīng)用程序出名容易成為黑客的攻擊主要目標(biāo)。
國外安全研究員Mazin Ahmed在2020年DEFCON會議上介紹了他的發(fā)現(xiàn),并披露了Zoom的漏洞,目前所有漏洞已在5.2.4版中修復(fù)。
Ahmed發(fā)現(xiàn)了適用于Linux的Zoom Launcher漏洞,該漏洞可能使攻擊者以啟動“ zoom”可執(zhí)行文件的方式運行任何未經(jīng)授權(quán)的軟件。
他使用漏洞情報平臺FullHunt.io來查詢與Zoom關(guān)聯(lián)的域。
漏洞列表:
- 放大暴露的公共Kerberos身份驗證服務(wù)器
- Zoom Production Server上的內(nèi)存泄漏
- Zoom Production Server上無法利用的RCE
- 可訪問的Zoom服務(wù)器上的Shadow IT問題
帶有 Zoom App的Linux 缺陷:
- TLS / SSL實施錯誤的設(shè)計實踐
- 有關(guān)Zoom Launcher實施的非常糟糕的設(shè)計實踐。
- Zoom用戶之間的端到端加密消息以純文本格式存儲在磁盤上。
- 所有本地用戶均可訪問的Zoom Local Database,包括私有的端到端加密消息(以純文本存儲)和訪問令牌。
他觀察到Zoom暴露了Kerberos服務(wù),該服務(wù)提供了更廣泛的攻擊面來枚舉登錄憑據(jù)。
另一個漏洞是Zoom上的圖像轉(zhuǎn)換,它將GIF轉(zhuǎn)換為PNG,進行圖像轉(zhuǎn)換Zoom使用具有內(nèi)存泄漏漏洞的ImageMagick版本,由于未初始化ImageMagick的GIF解析器上的內(nèi)存空間,因此發(fā)生了內(nèi)存泄漏漏洞。
Ahmed發(fā)現(xiàn)“ Zoom TLS / SSL在設(shè)計上已被Linux破壞,編寫了一個PoC,將TLS / SSL證書指紋注入到本地Zoom數(shù)據(jù)庫中。在用戶計算機上執(zhí)行此代碼后,將接受所有注入的證書,而不會在Zoom上出錯。”Zoom沒有完全端到端加密。
Zoom于2020年8月3日發(fā)布了更新,在Zoom版本5.2.4的更新中,所有安全漏洞已得到修復(fù)。