Zoom выпустила срочную «заплатку» для супербреши

Zoom выпустила экстренное обновление безопасности после новости о выявлении критической уязвимости в своих приложениях для Windows, успешная эксплуатация которой может позволить атакующему захватить контроль над учётной записью жертвы.

Отличие этой бреши от многих других в том, что её способен проэксплуатировать неавторизованный злоумышленник по сети, поэтому для успеха операции не требуется локальный или физический доступ к системе.

Найденная уязвимость имеет оценку 9,8 по шкале CVSS (критический уровень опасности) и классифицируется как проблема, связанная с некорректной проверкой входных данных. То есть возникающая, когда софт ненадлежащим образом проверяет информацию на соответствие формату, типу, размеру или диапазону перед её обработкой. В таком случае вредоносные элементы из файлов, сетевого трафика, API или других программных компонентов принимаются системой как легитимные, вследствие чего потенциально становятся возможными обход аутентификации, повышение привилегий или даже удалённое выполнение кода.

Согласно заявлению самого вендора, проблема затрагивает Zoom Workplace для Windows (версии до 7.0.0), Zoom Workplace VDI Client для Windows (версии до 7.0.10, 6.6.15 и 6.5.18 в соответствующих ветках), а также Zoom Meeting SDK для Windows (версии до 7.0.0). Для её решения пользователям следует обновить и само приложение, и системы централизованного развёртывания, чтобы устаревшая версия ПО не вернулась в ходе следующего цикла установки.