Zoom漏洞可使攻擊者攔截數(shù)據(jù)攻擊客戶基礎設施

云視頻會議提供商Zoom發(fā)布了針對其產(chǎn)品中多個漏洞的補丁，這些漏洞可能讓犯罪分子竊取會議數(shù)據(jù)并攻擊客戶基礎設施。

這些修補過的漏洞可能會讓攻擊者以最高權限獲得服務器訪問權，并在該公司的網(wǎng)絡上進一步導航，還可能危及Zoom軟件的功能——使受害者無法舉行會議。

1、嚴重漏洞

在上周的安全公告中，Zoom為其產(chǎn)品發(fā)布了多個補丁。

CVE-2021-34417

最嚴重的CVSS評分為7.9分，是Web門戶上的網(wǎng)絡代理頁面，例如 Zoom On-??Premise Meeting Connector Controller、Zoom On-Premise Meeting Connector MMR、Zoom On-Premise Recording Connector、 Zoom On-Premise Virtual Room Connector 和 Zoom On-Premise Virtual Room Connector Load Balancer。

被跟蹤為CVE-2021-34417的漏洞無法驗證設置網(wǎng)絡代理密碼請求發(fā)送的輸入，這可能導致web門戶管理員進行遠程命令注入。

CVE-2021-34422

第二個被跟蹤的漏洞CVE-2021-34422評分很高，CVSS評分為7.2，并且影響Keybase Client for Windows，該Windows在檢查上傳到團隊文件夾的文件名稱時包含路徑遍歷漏洞。

“惡意用戶可以使用特制的文件名將文件上傳到共享文件夾，這可能允許用戶執(zhí)行不打算在其主機上使用的應用程序。

如果惡意用戶利用Keybase客戶端的公用文件夾共享特性利用這個問題，就可能導致遠程執(zhí)行代碼?！盳oom表示。

2、評級較低的漏洞

CVE-2021-34420

發(fā)布的另一個重要補丁是針對Zoom Windows安裝可執(zhí)行簽名繞過，它被評為中等，CVSS得分為4.7。

跟蹤為CVE-2021-34420的漏洞影響版本5.5.4之前的所有Zoom Client for Meetings for Windows。

Zoom指出，“Zoom Client for Meetings for Windows 安裝程序不會驗證擴展名為 .msi、.ps1 和 .bat 的文件的簽名，這可能會導致威脅行為者在受害者的計算機上安裝惡意軟件?！?/p>

CVE-2021-34418

Zoom發(fā)布的另一個補丁解決了本地Web控制臺中的Pre-auth 空指針崩潰漏洞，該漏洞被跟蹤為CVE-2021-34418，CVSS評分為4.0，評級為中等。

CVE-2021-34419

“Zoom On-Premise Meeting Connector Controller、Zoom On-Premise Meeting Connector MMR、Zoom On-Premise Recording Connector、Zoom On-Premise Virtual Room Connector 和 Zoom On-Premise Virtual Room Connector Load 產(chǎn)品的 Web 控制臺登錄服務Balancer 在進行身份驗證時無法驗證是否發(fā)送了 NULL 字節(jié)，這可能導致登錄服務崩潰，”Zoom 指出。

該漏洞被跟蹤為CVE-2021-34419，CVSS 評分為3.7，影響 Ubuntu Linux 5.1.0之前的 Zoom Client for Meetings。

“在會議中的屏幕共享過程中向用戶發(fā)送遠程控制請求時，存在HTML注入缺陷，這可能使會議參與者成為社會工程攻擊的目標，”Zoom 指出。

CVE-2021-34421

CVE-2021-34421是評分最低的漏洞之一，CVSS評分為3.7，影響Android和iOS的Keybase客戶端。該漏洞適用于5.8.0之前的Android系統(tǒng)和5.8.0之前的iOS系統(tǒng)。

Android和iOS的Keybase客戶端無法刪除用戶發(fā)起的爆炸消息，如果接收用戶將聊天會話置于后臺而發(fā)送用戶爆炸消息，這可能導致泄露本應從其中刪除的敏感信息。

其他發(fā)現(xiàn)

Positive Technologies表示，他們已經(jīng)在Zoom本地會議、談判和錄音解決方案Zoom Meeting Connector Controller、Zoom Virtual Room Connector、Zoom Recording Connector 等中發(fā)現(xiàn)幾個關鍵漏洞(現(xiàn)已修補)。

研究人員Egor Dimitrenko表示，這些漏洞使得攻擊者可以輸入命令來執(zhí)行攻擊，從而以最大權限獲得服務器訪問權。

CVE-2021-34414

研究人員指出：“在本地模型下分布的軟件的用戶通常是大公司，它們在自己的網(wǎng)絡中部署這些解決方案，以防止數(shù)據(jù)泄露。”“由于CVE-2021-34414漏洞(CVSS評分為7.2)，很可能發(fā)生惡意注入。Zoom內(nèi)部應用程序中報告了該問題，如會議連接器控制器(最高版本4.6)、會議連接器MMR(最高版本4.6)、錄音連接器(最高版本3.8)、虛擬房間連接器(最高版本4.4)和虛擬房間連接器負載均衡器(最高版本2.5)?！?/p>

CVE-2021-34415

Positive Technologies 研究人員發(fā)現(xiàn)的另一個漏洞是CVE-2021-34415，其CVSS 3.0得分為7.5，這可能導致系統(tǒng)崩潰。該問題在4.6版中得到糾正。

一旦利用這個漏洞，攻擊者可能會破壞軟件的功能，使受影響的組織無法舉行Zoom會議。出現(xiàn)此類漏洞的主要原因是缺乏對用戶數(shù)據(jù)的充分驗證。

在委托給服務器管理任務的應用程序中，經(jīng)常會遇到此類漏洞。這種漏洞會導致嚴重的后果，在大多數(shù)情況下，它會導致入侵者獲得對公司網(wǎng)絡基礎設施的完全控制。隨著漏洞利用攻擊的增加，在軟件開發(fā)期間利用靜態(tài)代碼檢測工具可以幫助開發(fā)人員及時查找漏洞并修復，增強軟件自身安全性，降低別攻擊的風險。

參讀鏈接：

https://www.inforisktoday.com/zoom-patches-multiple-vulnerabilities-a-17906