Прямо сейчас за любым Mac с приложением для телеконференций Zoom можно шпионить. Да, это плохой день для безопасности Apple, поскольку вредоносные веб-сайты могут быть закодированы для удаленного запуска видеоконференцсвязи на вашем Mac, а атака даже может быть отправлена по электронной почте.
Эта новость, обнародованная исследователем безопасности Джонатаном Лейтшу, показывает, что даже компьютеры Mac, на которых Zoom больше не установлен, но когда-то был установлен, уязвимы. Однако хорошая новость заключается в том, что есть решения (хотя одно из них серьезно затруднено), и Zoom, похоже, скоро все это исправит.
что делать сейчас
Исправление, благодаря тому, что Zoom меняет свою позицию, похоже, так же просто, как принятие обновлений Zoom по мере их поступления. В обновлении большого сообщения в блоге Zoom об этой уязвимости компания заявила, что патч, который выйдет сегодня вечером (9 июля) в 3 часа ночи / полночь по тихоокеанскому стандартному времени, решит проблему. Пользователям будет предложено обновить приложение и что после завершения обновления «локальный веб-сервер на этом устройстве будет полностью удален».
Предполагается, что обновление также улучшит процедуру удаления. В сообщении Zoom говорится: «Мы добавляем новую опцию в строку меню Zoom, которая позволит пользователям вручную и полностью удалить клиент Zoom, включая локальный веб-сервер».
Мы с нетерпением ждем, если Джонатан Лейтшу и другие исследователи в области безопасности считают, что Zoom выполняет тщательную и надлежащую работу.
Чтобы обезопасить свой Mac, откройте «Настройки для масштабирования» - нажмите «Масштаб» в строке меню, затем нажмите «Настройки» и откройте раздел «Видео». Затем установите флажок «Отключить мое видео при присоединении к встрече».
В своем посте Лейтшу также поделился кодом для использования в Терминале. Эти инструкции немного усложняются и лучше всего подходят для опытных пользователей, которые предпочли бы их. Эти советы предназначены для уничтожения веб-сервера, который Zoom создает на Mac.
Как это работает
Да, все это возможно, потому что Zoom тайно устанавливает на Mac веб-сервер, который получает и принимает запросы, которые не выполняются вашими веб-браузерами. Лейтшу объяснил, что он пытался работать с Zoom, обращаясь к компании в марте этого года, но что его «решений было недостаточно для полной защиты своих пользователей».
Кроме того, как я упоминал ранее, уязвимы даже те пользователи, которые удалили Zoom со своих Mac. Лейтшу объясняет, что веб-сервер, установленный Zoom, остается в работе даже после удаления программы, и что сервер может быть удаленно запущен для обновления и автоматической установки последней версии Zoom.
Да, и жертву даже не нужно обманом заставить открыть веб-страницу. Во-первых, пользователь Vimeo 'fun jon' опубликовал видео-доказательства того, что вы можете атаковать эту уязвимость по электронной почте, и цели даже не нужно открывать сообщение. Им просто нужно использовать клиентское приложение электронной почты, которое загружает злонамеренно закодированное сообщение.
После того, как Лейтшу поспорил с Zoom, утверждая, что сообщил компании, что «разрешение хосту выбирать, будет ли участник автоматически присоединяться к видео» является «отдельной уязвимостью безопасности», компания не согласилась, позиционируя свое решение как про-пользовательское: Zoom верит в то, что дает нашим клиентам возможность выбирать, как они хотят масштабировать ».
Хотите в этом убедиться?
Если у вас когда-либо был Zoom, вы можете убедиться в этом сами.
Поищите в блоге Leitschuh фразу «zoom_vulnerability_poc /» - это ссылка на его доказательство концепции, которое запускает вызов Zoom. Первая - это версия только для аудио; вторая ссылка, которая включает в себя iframe в URL-адресе, запускает вызов с активным видео.
Эта уязвимость Zoom - бананы. Я попробовал одно из доказательств концептуальных ссылок и подключился к трем другим рандом, которые тоже волновались по этому поводу в реальном времени. https://t.co/w7JKHk8nZypic.twitter.com/arOE6DbQaf - Мэтт Хоги (@mathowie) 9 июля, 2022-2023 гг.
Эта статья изначально появилась в Руководстве Тома.
- Обзор бета-версии macOS Catalina
- Я использовал мышь с iPadOS, и вот как это работает
- Бета-обзор iPadOS