Bezpečnostní výzkumník objevil dvě zranitelnosti v nástroji pro aktualizaci softwaru pro videohovory Zoom pro macOS, který umožňoval root přístup. Poté, co společnost opravila zranitelnosti, muž objevil novou zranitelnost.
Bezpečnostní výzkumník Patrick Wardle sdílel svá zjištění na hackerské akci DefCon v Las Vegas. Tam vysvětlil, jak obejít kontrolu podpisu nástroje pro automatickou aktualizaci Zoom pro macOS. U první chyby zabezpečení, CVE-2022-28751, museli uživatelé pouze změnit název souboru tak, aby obsahoval stejné hodnoty jako certifikát, který aktualizační nástroj hledal. "Stačí dát softwaru určité jméno a za chvíli jste mimo kryptografickou kontrolu," řekl muž pro Wired.
Wardle informoval Zoom o zranitelnosti na konci roku 2021 a oprava, kterou společnost vydala, pak podle Wardlea obsahovala novou zranitelnost. Podařilo se mu zajistit, aby Zoom's updater.app pro macOS akceptovala starší verzi softwaru pro videohovory, takže začala distribuovat tuto verzi místo nejnovější. Škodlivým stranám byla náhle poskytnuta příležitost zneužít zranitelnosti ve starším softwaru Zoom prostřednictvím zranitelnosti CVE2022-22781. Mám, protože Zoom nyní opravil dvě výše uvedené zranitelnosti prostřednictvím aktualizace.
Wardle tam ale také našel zranitelnost, CVE-2022-28756. Podle muže je v současné době možné provést změny v balíčku po ověření softwarového balíčku instalačním programem Zoom. Softwarový balíček si zachovává svá oprávnění pro čtení a zápis v macOS a lze jej stále upravovat mezi kryptografickou kontrolou a instalací. Zoom mezitím zareagoval na Wardleova nová odhalení. Společnost tvrdí, že na řešení pracuje.