私達の多く 行ったことがある: すでに遅刻している会議に急いで参加しようとして Zoom アプリを起動すると、更新をダウンロードするように求められます。 このようなことが起こった場合、Zoom の自動更新機能に登録されています。
発売 ZoomのWindowsおよびMacデスクトップアプリ向けの2021年11月の現在の形式では、この機能はユーザーがソフトウェアパッチに追いつくのを助けることを目的としています. 機能を最初にセットアップするときにシステム パスワードを入力し、Zoom にパッチをインストールする権限を付与します。その後、再度入力する必要はありません。 簡単。 しかし、この機能に気づいた後、Mac の長年のセキュリティ研究者である Patrick Wardle は、これは少し簡単すぎるのではないかと考えました。
本日ラスベガスで開催された DefCon セキュリティ カンファレンスで、Wardle は自動更新機能の更新プログラムの検証チェックで発見した 2 つの脆弱性を発表しました。 標的の Mac にすでにアクセスしていた攻撃者の場合、脆弱性が連鎖して悪用され、被害者のマシンを攻撃者が完全に制御できるようになる可能性があります。 Zoomはすでにリリースされています 修正 両方の脆弱性についてですが、金曜日のステージで、Wardle は追加の脆弱性の発見を発表しました。これは、彼がまだ Zoom に開示していない脆弱性であり、攻撃ベクトルを再び開きます。
「彼らがどのようにこれを設定しているのか、私は興味がありました。 そして、私が見てみると、最初は彼らが物事を安全に行っているように見えました.彼らは正しいアイデアを持っていました. 「しかし、よく調べてみると、コードの品質はより疑わしく、誰も十分に深く監査していないように見えました。」
ユーザーがパスワードを 1 回入力した後にアップデートを自動的にインストールするために、Zoom は標準の macOS ヘルパー ツールをインストールします。 同社は、Zoom アプリケーションだけがヘルパーと会話できるようにメカニズムを設定しました。 このようにして、他の誰も接続して物事を台無しにすることはできませんでした. この機能は、署名チェックを実行して配信される更新の整合性を確認するようにも設定されており、特にソフトウェアが Zoom の新しいバージョンであることを確認したため、ハッカーはアプリをだまして「ダウングレード攻撃」を開始できませんでした。古い脆弱なバージョンのZoomをインストールすることに。
ただし、Wardle が最初に発見した脆弱性は、暗号署名チェックにありました。 (これは、ソフトウェアの整合性と来歴を確認するための一種のワックス シール チェックです。) Wardle は、過去の調査と彼自身のソフトウェア開発から、Zoom が設定した種類の条件で署名を真に検証することが難しい場合があることを知っていました。 最終的に、彼はズームのチェックが無効になる可能性があることに気付きました。 法的文書に慎重に署名し、妹のためにもっとさりげなく署名した誕生日カードの隣のテーブルに紙を裏向きに置いたと想像してください。 Zoom の署名チェックは、署名が適切なドキュメントの適切な場所にあるかどうかを実際に確認するのではなく、基本的にテーブル上のすべてを見て、ランダムなバースデー カードの署名を受け入れることでした。 言い換えれば、Wardle は、彼が忍び込もうとしていたソフトウェアの名前を、Zoom が広く探していたマーカーを含むように変更し、Zoom の署名チェックを通過して悪意のあるパッケージを取得できることを発見しました。