Уязвимость в сервисе Zoom позволяла удалённо включать веб-камеры на macOS

Специалист по кибербезопасности, нашедший баг, предупредил Zoom несколько месяцев назад, но компания пообещала исправить проблему только огласки.

Эксперт в сфере кибербезопасности Джонатан Лейтшу обнаружил в сервисе для видеоконференций Zoom для macOS уязвимость, позволяющую получить доступ к веб-камерам на устройствах.

По его словам, причина уязвимости кроется в функции, которая позволяет пользователям присоединяться к видеоконференциям по ссылке. Для этого Zoom устанавливает веб-сервер, получающий запросы по протоколу HTTPS GET. Отправлять их может любой сайт, открытый в браузере.

Чтобы активировать веб-камеры, злоумышленникам нужно создать ссылку-приглашение на конференцию и встроить её в код сайта. Локальный сервер Zoom работает в фоновом режиме, поэтому на компьютерах пользователей, открывающих вредоносный сайт, принудительно запустится приложение видеосервиса с активированной камерой. Также можно подключаться к звонкам, созданным другими пользователями.

Для доказательства уязвимости Лейтшу встроил вредоносный код в свой сайт. Попадая на сайт, пользователи с установленным клиентом Zoom подключаются к звонку с веб-камерой без разрешения. При отсутствии программы на сайте отображается диалоговое окно с просьбой дать необходимые разрешения, после выдачи которых видеоконференция не запускается.

Плюс к этому эксперт заметил, что локальный сервер Zoom работает на компьютере даже после удаления приложения. Он позволяет повторно установить программу при посещении сайта с вредоносным кодом без каких-либо дополнительных подтверждений.

Исследователь сообщил об уязвимости Zoom в марте 2019 года, дав сервису 90 дней на устранение проблемы. По его словам, компания лишь частично исправила проблему: в новом обновлении можно отключить веб-камеру при добавлении к звонкам.