4 февраля 2020 
adminGWP Исслeдoвaтeлям удaлoсь пoдoбрaть идeнтификaтoры встрeч и пoдключиться к рaзгoвoрaм в Zoom.
Спeциaлисты кoмпaнии Check Point oбнaружили в плaтфoрмe чтобы прoвeдeния видeoкoнфeрeнций Zoom уязвимoсть, пoзвoлявшую злoумышлeнникaм бeз приглaшeния присoeдиняться к чужим рaзгoвoрaм и прикладывать доступ ко всем данным и файлам, которыми обмениваются участники.
Весь круг звонок в Zoom имеет особый идентификатор, состоящий из 9-11 случайных чисел. Идентификатор играет ипостась адреса, по которому участники конференции могут сыскать и присоединиться к нужному разговору. Исследователям Check Point посчастливилось найти уязвимость, позволившую им в 4% случаев сделать выбор действительный идентификатор звонка и войти к конференции (исследователи не участвовали в разговорах и завершали звонок в «комнате ожидания»).
Фактура, специалистам не удалось связать идентификатор с конкретным пользователем. Отчего, даже если злоумышленнику удастся законнектиться к чьему-то разговору, возлюбленный не сможет знать загодя, к какому. Исследователи также неважный (=маловажный) нашли подтверждений того, яко у подключившегося к разговору злоумышленника перестаньте доступ к камерам и микрофонам его участников.
Специалисты сообщили Zoom о проблеме, и симпатия была быстро исправлена. Разработчики заменили идентификатор «криптографически больше надежным», добавили в него пре чисел и сделали обязательным пользование пароля для подключения к конференциям.
Впоследств исправления уязвимости осуществлять сканировка в поисках действительных идентификаторов, делать за скольких это сделали специалисты Check Point, вяще нельзя. При каждой попытке включиться к сеансу связи будет показываться страница встречи, а после нескольких попыток уклад будет «забанено» платформой.
Производное
Рубрика: