Mikä tahansa Zoom -puhelinkonferenssisovelluksella varustettu Mac voidaan vakoilla juuri nyt. Kyllä, tämä on huono päivä Applen turvallisuudelle, koska haitalliset verkkosivustot voidaan koodata aloittamaan videoneuvottelupuhelu Macissa - ja hyökkäys voidaan lähettää jopa sähköpostitse.
Tämä tietoturvatutkija Jonathan Leitschuhin paljastama uutinen osoittaa, että jopa Macit, joihin ei ole asennettu Zoomia - mutta kerran - ovat haavoittuvia. Hyvä uutinen on kuitenkin se, että ratkaisuja on olemassa (yksi on kuitenkin vaikeaa), ja Zoom näyttää korjaavan kaiken pian.
Mitä tehdä nyt
Korjaus, koska Zoom muuttaa asennettaan, näyttää olevan yhtä yksinkertainen kuin hyväksyä Zoom -päivitykset saapuessaan. Zoomin suuren blogiviestin päivityksessä virheestä yritys ilmoitti, että laastari tulee tänään (9. heinäkuuta) kello 3.00 tai ennen sitä. EST/keskiyö PST ratkaisee asiat. Käyttäjiä kehotetaan päivittämään sovellus ja että kun päivitys on valmis, "paikallinen verkkopalvelin poistetaan kokonaan kyseiseltä laitteelta."
Päivityksen oletetaan myös parantavan asennuksen poistamista. Zoomin viestissä todetaan: "Lisäämme Zoom -valikkoriville uuden vaihtoehdon, jonka avulla käyttäjät voivat poistaa manuaalisesti ja kokonaan Zoom -asiakkaan asennuksen, mukaan lukien paikallinen verkkopalvelin."
Odotamme innolla, onko Jonathan Leitschuh ja muut tietoturvatutkijat sitä mieltä, että Zoom tekee perusteellista ja asianmukaista työtä.
Suojaa Macisi avaamalla Zoom -asetukset - napsauta valikkorivin Zoom -painiketta, sitten Asetukset - ja avaa Video -osa. Valitse sitten Poista videoni käytöstä kokoukseen liittyessä -valintaruutu.
Leitschuh jakoi viestissään myös koodin käytettäväksi terminaalissa. Nämä ohjeet ovat hieman monimutkaisia ja sopivat parhaiten huipputekniikan taitaville käyttäjille, jotka haluavat sitä. Nämä vinkit on tehty Zoomin Macissa luoman verkkopalvelimen poistamiseksi.
Kuinka se toimii
Kyllä, tämä on kaikki mahdollista, koska Zoom asentaa salaa verkkopalvelimen Macille, joka vastaanottaa ja hyväksyy pyyntöjä, joita selaimesi ei halua. Leitschuh selitti, että hän yritti työskennellä Zoomin kanssa ja tavoitti yrityksen viime maaliskuussa, mutta sen "ratkaisut eivät riittäneet täysin suojaamaan käyttäjiään".
Lisäksi, kuten aiemmin mainitsin, jopa ne käyttäjät, jotka ovat poistaneet Zoomin Macistaan, ovat haavoittuvia. Leitschuh selittää, että Zoomin asentama verkkopalvelin pysyy takana myös ohjelman poistamisen jälkeen ja että palvelin voidaan käynnistää etänä päivittämään ja asentamaan automaattisesti Zoomin uusin versio.
Ja uhria ei tarvitse edes huijata avaamaan verkkosivua. Ensinnäkin Vimeon käyttäjä "fun jon" julkaisi videotodisteita siitä, että voit hyökätä tämän virheen vastaan sähköpostitse, eikä kohteen tarvitse edes avata viestiä. Heidän on vain käytettävä sähköpostiohjelmaa, joka lataa haitallisesti koodatun viestin.
Sen jälkeen kun Leitschuh kiisteli Zoomin kanssa ja väitti kertovansa yritykselle, että "isännän antaminen valita, liittyykö osallistuja automaattisesti videoon vai ei" on "itsenäinen tietoturvahaavoittuvuus", yritys oli eri mieltä ja asetti päätöksensä käyttäjäystävälliseksi: "Zoom uskoo antavansa asiakkaillemme valinnan mahdollisuuden zoomata. "
Haluatko nähdä sen itse?
Jos olet koskaan käyttänyt Zoomia koneellasi, näet tämän itse.
Hae Leitschuhin blogikirjoituksesta ilmausta "zoom_vulnerability_poc/" - sillä se on linkki hänen konseptitodistukseensa, joka käynnistää Zoom -puhelun. Ensimmäinen on vain ääniversio; toinen linkki, joka sisältää URL -osoitteen iframe, aloittaa puhelun, kun video on aktiivinen.
Tämä Zoom -haavoittuvuus on banaaneja. Kokeilin yhtä konseptilinkkien todisteista ja sain yhteyden kolmeen muuhun randoon, jotka myös järkyttivät sitä reaaliajassa. https://t.co/w7JKHk8nZypic.twitter.com/arOE6DbQaf - Matt Haughey (@mathowie) 9. heinäkuuta 2022-2023
Tämä artikkeli ilmestyi alun perin Tom's Guide -oppaassa.
- macOS Catalina Beta Review
- Käytin hiirtä iPadOS: n kanssa ja näin se toimii
- iPadOS Beta Review