Popüler video konferans hizmeti Zoom, özel hazırlanmış Genişletilebilir Mesajlaşma ve Durum Protokolü ( XMPP ) mesajları göndererek ve kötü amaçlı kod yürüterek sohbet üzerinden başka bir kullanıcının güvenliğini aşmak için kullanılabilecek dört adede kadar güvenlik açığını çözmüştür.
CVE-2022-22784‘ten CVE-2022-22787’ye kadar izlenen sorunların önem derecesi 5,9 ile 8,1 arasında değişmektedir. Google Project Zero’dan Ivan Fratric, Şubat 2022’de dört kusurun tamamını keşfedip bildirdiği için itibar kazandı.
Hataların listesi aşağıdaki gibidir:
CVE-2022-22784 (CVSS puanı: 8.1) – Toplantılar için Zoom İstemcisinde Yanlış XML Ayrıştırma
CVE-2022-22785 (CVSS puanı: 5.9) – Toplantılar için Zoom İstemcisi’nde uygun olmayan şekilde kısıtlanmış oturum çerezleri
CVE-2022-22786 (CVSS puanı: 7.5) – Windows için Toplantılar için Zoom Client’ta paket düşürmeyi güncelleyin
CVE-2022-22787 (CVSS puanı: 5.9) – Toplantılar için Zoom Client’ta sunucu geçişi sırasında yetersiz ana bilgisayar adı doğrulaması
Zoom’un XMPP standardının üzerine inşa edilmiş sohbet işleviyle, sorunlardan başarılı bir şekilde yararlanılması, bir saldırganın savunmasız bir istemciyi bir Zoom kullanıcısını maskelemeye, kötü niyetli bir sunucuya bağlanmaya ve hatta sahte bir güncelleme indirmeye zorlayarak rastgele kod yürütülmesine neden olabilir. bir sürüm düşürme saldırısından kaynaklanıyor.
Sürüm düşürme saldırısı, uygulamanın Windows sürümünü öne çıkarırken, CVE-2022-22784, CVE-2022-22785 ve CVE-2022-22787, Android, iOS, Linux, macOS ve Windows‘u etkiler.
Yamalar, Zoom’un yerel ayrıcalık yükselmesine ve şirket içi Toplantı hizmetlerinde bellek içeriğinin açığa çıkmasına neden olabilecek iki yüksek önemdeki kusuru (CVE-2022-22782 ve CVE-2022-22783) ele almasından bir aydan kısa bir süre sonra geldi. Ayrıca, Zoom’un macOS uygulamasında bir başka sürüm düşürme saldırısı (CVE-2022-22781) örneği de düzeltildi.
Uygulama kullanıcılarının, kusurların aktif olarak kullanılmasından kaynaklanan olası tehditleri azaltmak için en son sürüme (5.10.0) güncelleme yapmaları önerilir.