Zoom’un sahip olduğu popüler video konferans hizmeti çözüldü özel hazırlanmış Genişletilebilir Mesajlaşma ve Durum Protokolü (XMPP) mesajlar ve kötü amaçlı kod yürütür.
CVE-2022-22784’ten CVE-2022-22787’ye kadar izlenen sorunların önem derecesi 5,9 ile 8,1 arasında değişmektedir. Google Project Zero’dan Ivan Fratric, Şubat 2022’de dört kusurun tamamını keşfedip bildirdiği için itibar kazandı.
Hataların listesi aşağıdaki gibidir –
- CVE-2022-22784 (CVSS puanı: 8.1) – Toplantılar için Zoom İstemcisinde Yanlış XML Ayrıştırma
- CVE-2022-22785 (CVSS puanı: 5.9) – Toplantılar için Zoom Client’ta uygun olmayan şekilde kısıtlanmış oturum çerezleri
- CVE-2022-22786 (CVSS puanı: 7.5) – Windows için Toplantılar için Zoom İstemcisi’nde paket düşürmeyi güncelleyin
- CVE-2022-22787 (CVSS puanı: 5.9) – Toplantılar için Zoom Client’ta sunucu geçişi sırasında yetersiz ana bilgisayar adı doğrulaması
Zoom’un XMPP standardının üzerine inşa edilmiş sohbet işleviyle, sorunlardan başarılı bir şekilde yararlanılması, bir saldırganın savunmasız bir istemciyi bir Zoom kullanıcısını maskelemeye, kötü niyetli bir sunucuya bağlanmaya ve hatta sahte bir güncelleme indirmeye zorlayarak rastgele kod yürütülmesine neden olabilir. kaynaklanan bir sürüm düşürme saldırısı.
Fratric, sıfır tıklamalı saldırı dizisini “XMPP Stanza Kaçakçılık“bir kullanıcı, başka bir kullanıcıdan geliyormuş gibi iletileri taklit edebilir” ve “saldırgan, sunucudan geliyormuş gibi kabul edilecek kontrol iletileri gönderebilir.”
Özünde, sorunlar, Zoom’un istemcisindeki ve sunucusundaki XML ayrıştırıcıları arasındaki tutarsızlıkları rastgele “kaçakçılık” için ayrıştırmanın avantajından yararlanır. XMPP kıtaları — XMPP’de temel bir iletişim birimi — mağdur istemciye.
Spesifik olarak, istismar zinciri, yazılım güncelleme mekanizmasını ele geçirmek ve istemcinin, Zoom istemcisinin eski, daha az güvenli bir sürümünü sunan bir ortadaki adam sunucusuna bağlanmasını sağlamak için silahlandırılabilir.
Sürüm düşürme saldırısı, uygulamanın Windows sürümünü öne çıkarırken, CVE-2022-22784, CVE-2022-22785 ve CVE-2022-22787, Android, iOS, Linux, macOS ve Windows’u etkiler.
Yamalar, Zoom’un yerel ayrıcalık yükselmesine ve şirket içi Toplantı hizmetlerinde bellek içeriğinin açığa çıkmasına neden olabilecek iki yüksek önemdeki kusuru (CVE-2022-22782 ve CVE-2022-22783) ele almasından bir aydan kısa bir süre sonra geldi. Ayrıca, Zoom’un macOS uygulamasında bir başka sürüm düşürme saldırısı (CVE-2022-22781) örneği de düzeltildi.
Uygulama kullanıcılarının, kusurların aktif olarak kullanılmasından kaynaklanan olası tehditleri azaltmak için en son sürüme (5.10.0) güncelleme yapmaları önerilir.