Una grave vulnerabilidad de día cero en el Zoom La aplicación de videoconferencia para Mac fue revelada públicamente hoy por el investigador de seguridad Jonathan Leitschuh.
en un Publicación mediana , Leitschuh demostró que simplemente visitar una página web permite que el sitio inicie por la fuerza una videollamada en una Mac con la aplicación Zoom instalada.
Se dice que la falla se debe en parte a un servidor web que la aplicación Zoom instala en Mac que 'acepta solicitudes que los navegadores normales no aceptarían', como señaló El borde , que confirmó de forma independiente la vulnerabilidad.
Además, Leitschuh dice que en una versión anterior de Zoom (desde que se parcheó) la vulnerabilidad permitía que cualquier página web pudiera acceder a DOS (Denegación de servicio) a Mac al unir repetidamente a un usuario a una llamada no válida. Según Leitschuh, esto aún puede ser un peligro porque Zoom carece de 'suficientes capacidades de actualización automática', por lo que es probable que haya usuarios que aún ejecuten versiones anteriores de la aplicación.
Leitschuh dijo que le reveló el problema a Zoom a fines de marzo, lo que le dio a la compañía 90 días para solucionar el problema, pero el investigador de seguridad informa que la vulnerabilidad aún permanece en la aplicación.
Mientras esperamos a que los desarrolladores de Zoom hagan algo sobre la vulnerabilidad, los usuarios pueden tomar medidas para prevenir la vulnerabilidad ellos mismos desactivando la configuración que permite que Zoom encienda la cámara de su Mac al unirse a una reunión.
Tenga en cuenta que simplemente desinstalar la aplicación no ayudará, porque Zoom instala el servidor web localhost como un proceso en segundo plano que puede volver a instalar el cliente Zoom en una Mac sin requerir la interacción del usuario además de visitar una página web.
Afortunadamente, la parte inferior de Leitschuh's Publicación mediana incluye una serie de comandos de Terminal que desinstalarán el servidor web por completo.
Actualizar: En una declaración dada a ZDNet , Zoom defendió su uso de un servidor web local en Mac como una 'solución' a los cambios que se introdujeron en Safari 12. La compañía dijo que sentía que ejecutar un servidor local en segundo plano era una 'solución legítima para una mala experiencia de usuario, permitiendo a nuestros usuarios tener reuniones sin problemas, con un solo clic para unirse, que es nuestro diferenciador clave de producto '.
Actualización 2: Zoom ya no adopta una postura defensiva y tiene ahora lanzó un parche .
Etiquetas: seguridad, Zoom
Entradas Populares