Zoom 视频会议 app 被曝严重漏洞，75万家企业或受影响

聚焦源代码安全，网罗国内外最新资讯！

编译：360代码卫士团队

研究人员在Zoom视频会议应用程序中找到了一个潜在的严重漏洞，可导致外部攻击者或者恶意内部人员劫持屏幕控制、欺骗聊天信息并从会话中删除与会人员。

Tenable公司的研究人员David Wells最近发现Windows和macOS版本的Zoom应用程序遭某个漏洞影响。越权用户能够利用该漏洞撤销为Zoom服务器正常保留的函数。

利用该漏洞要求发送特别构造的UDP数据包，而恶意内部人员能够访问目标会议；具有本地网络访问权限的攻击者或者远程攻击者均可利用它。

Tenable公司解释称，“这个bug产生的原因是Zoom的内部通讯输出(util.dll!ssb::events_t::loop)”将客户端用户数据包协议(UDP)和服务器传输控制协议(TCP)信息(from util.dll!ssb::select_t::loop)调度至ssb_sdk.dll中相同的信息处理器中。这就导致攻击者能构造并将被解释为处理自受信任TCP信道且由授权Zoom服务器使用的的信息的UDP数据包。”

该缺陷可被用于绕过屏幕控制权限并通过发送击键和鼠标移动的方式劫持会议与会人员的桌面，发送模拟其他用户的聊天信息或删除并锁定用户。

Tenable公司已发布视频和PoC利用代码，展示了攻击者如何控制会议主持人的屏幕并在设备上打开计算器。

Tenable公司表示，利用该漏洞要求获得与会人员的IP地址、Zoom服务器的IP地址以及与会人员的ID。该公司表示，可通过暴力攻击的方式轻易获取与会人员的ID信息。

要从互联网利用这个漏洞，攻击者必须能够欺骗UDP数据包中的一个公开IP地址。然而，Tenable公司证实称，这只是一种尚未测试的理论攻击场景。

Tenable公司表示，在这个场景中，远程攻击者能够在会议进行时通过欺骗WAN IP并暴力攻击Zoom服务器上受害者为UDP会话使用的源端口的方式利用。

10月11日，Tenable公司将漏洞告知Zoom公司。后者于11月19日发布Windows版本4.1.34814.1119以及macOS版本4.1.34801.1116。然而，发布备注里面仅将其列为“不重要的bug修复方案”，并未提及任何安全缺陷问题。

Tenable公司表示，此类漏洞能够严重威胁组织机构的安全。在这个案例中，Zoom声称其视频通信平台企业用户超过75万家。