هرج‌ومرج و وحشتی که از افشای یک آسیب‌پذیری حریم خصوصی در نرم‌افزار کنفرانس ویدیویی Zoom در تاریخ ۹ ژوئیه ۲۰۱۹ ایجاد شده، هنوز تمام نشده است. نرم‌افزار Zoom یک نرم‌افزار کنفرانس ویدیویی بسیار محبوب بوده و به‌طور گسترده مورداستفاده قرار می‌گیرد [۱].
همان‌طور که مشکوک به نظر می‌رسید، روشن شد که مسئله‌ی هسته (یک وب سرور محلی نصب‌شده توسط نرم‌افزار) نه‌تنها اجازه می‌دهد که یک وب‌سایت وب کم دستگاه شما را روشن کند، بلکه می‌تواند به هکرها اجازه دهد تا از راه دور کنترل کامل کامپیوتر Mac شما را در اختیار گیرند.
گزارش شده است که پلت فرم meeting نرم‌افزار Zoom برای MacOS که مبتنی بر cloud است همچنین در معرض یک نقص شدید دیگر قرار گرفته است (CVE-2019-13567) که می‌تواند به مهاجمان از راه دور اجازه دهد تا کد دلخواه خود را تنها با متقاعد کردن کاربران به مشاهده‌ی یک وب‌سایت که در ظاهر بی‌خطر است، روی سیستم مورد هدف اجرا کنند.
همان‌طور که در گزارش قبلی توسط The Hacker News توضیح داده شده است، برنامه ویدیو کنفرانس Zoom شامل یک آسیب‌پذیری حیاتی (CVE-2019-13450) است که درجایی قرار دارد که ویژگی click-to-join پیاده‌سازی شده است که به‌طور خودکار در هنگام بازدید از یک لینک دعوت، روشن می‌شود.
هر دوی آسیب‌پذیری‌ها ناشی از یک وب سرور محلی بحث‌برانگیز است که روی پورت ۱۹۴۲۱ اجرا می‌شود که Zoom client آن را روی رایانه‌های کاربران نصب می‌کند تا ویژگی click-to-join را ارائه دهد.
در ابتدا، دو مسئله مهم وجود دارد که محقق امنیتی Jonathan Leitschuh خاطرنشان کرده است: اولاً، سرور محلی به‌طور غیر ایمن دستورات را از طریق HTTP دریافت می‌کند و به هر وب‌سایت اجازه می‌دهد تا با آن ارتباط برقرار کند و دوم اینکه وقتی کاربر، نرم‌افزار Zoom را از سیستم خود حذف می‌کند، پاک نمی‌شود و کاربران را برای همیشه آسیب‌پذیر می‌کند.
بلافاصله پس از دریافت انتقادات شدید از سوی کاربران، این شرکت یک به‌روزرسانی اضطراری برای نرم‌افزار خود را برای حذف پیاده‌سازی وب سرور آسیب‌پذیر (Daemon ZoomOpener) منتشر کرد.
بااین‌حال، به‌روزرسانی نرم‌افزار نمی‌تواند از مشتریان سابقی که دیگر از این نرم‌افزار استفاده نمی‌کنند محافظت کند چراکه یک وب سرور آسیب‌پذیر هنوز در سیستم‌های آن‌ها به‌طور نامعلومی فعال است.
این موضوع نگران‌کننده است که با توجه به مشاوره‌ای که توسط پایگاه ملی آسیب‌پذیری منتشرشده (NVD)، نقص جدید RCE کشف‌شده نیز در روی کاربرانی که قبلاً این نرم‌افزار ویدیو کنفرانس را نصب‌کرده‌اند، کار می‌کند، اما وب سرور آن هنوز فعال بوده و روی پورت ۱۹۴۲۱ Listen می‌شود[۲].
در همین حال، برای کمک به کاربران، اپل به‌طور تعجب‌آوری به این مشکل ورود کرده و به‌طور مخفیانه یک به‌روزرسانی برای همه کاربران macOS منتشر کرده است[۳] که به‌طور خودکار وب سرور Zoom را بدون نیاز به تعامل با کاربر حذف می‌کند و حتی بدون توجه به اینکه کاربر از این نرم‌افزار ویدیو کنفرانس استفاده می‌کند یا نه.
جزئیات فنی این نقص جدید اجرای کد از راه دور در Zoom client برای macOS هنوز در دسترس نیست، اما Jonathan و محققان دیگر آن را تأیید کرده و وجود بهره‌بردار فعال را برای آن اثبات کردند[۴]، همان‌طور که در این ویدیو [۵] نشان داده شده است.
برای محافظت در برابر هر دو آسیب‌پذیری، به کاربران Zoom به‌شدت توصیه می‌شود تا آخرین به‌روزرسانی‌های سیستم را نصب‌کرده و بلافاصله نرم‌افزار خود را بهZoom client نسخه‌ی ۴٫۴٫۵۳۹۳۲٫۰۷۰۹ارتقا دهند [۶] یا به‌سادگی این نرم‌افزار را حذف کنند و فقط از نسخه‌ی مرورگر این سرویس استفاده کنند.
منابع
[۱] https://thehackernews.com/2019/07/webcam-hacking-video-conferencing.html
[۲] https://nvd.nist.gov/vuln/detail/CVE-2019-13567
[۳] https://techcrunch.com/2019/07/10/apple-silent-update-zoom-app
[۴] https://twitter.com/wcbowling/status/1149457231504498689
[۵] https://youtu.be/Ilp_mPEpZos
[۷] https://thehackernews.com/2019/07/zoom-video-conferencing-hacking.html
ثبت ديدگاه