En sikkerhedsforsker har opdaget to sårbarheder i videoopkaldssoftwareopdateringsværktøjet Zoom til macOS, der tillod root-adgang. Efter at virksomheden havde rettet sårbarhederne, opdagede manden en ny sårbarhed.
Sikkerhedsforsker Patrick Wardle delte sine resultater ved DefCon-hacking-begivenheden i Las Vegas. Der forklarede han, hvordan man omgår signaturkontrollen af Zooms automatiske opdateringsværktøj til macOS. I en første sårbarhed, CVE-2022-28751, skulle brugerne kun ændre filnavnet på en fil, så den indeholdt de samme værdier som det certifikat, som opdateringsværktøjet ledte efter. "Du skal bare give softwaren et bestemt navn, og du er forbi kryptografisk kontrol på ingen tid," fortalte manden til Wired.
Wardle havde informeret Zoom om sårbarheden i slutningen af 2021, og den rettelse, som virksomheden havde udgivet derefter, indeholdt en ny sårbarhed, ifølge Wardle. Han var i stand til at få Zooms updater.app til macOS til at acceptere en ældre version af videoopkaldssoftwaren, så den begyndte at distribuere den version i stedet for den seneste version. Ondsindede parter fik pludselig mulighed for at udnytte sårbarheder i ældre Zoom-software via sårbarheden CVE2022-22781. Fik, for Zoom har nu rettet de to ovenstående sårbarheder via en opdatering.
Men Wardle fandt også en sårbarhed der, CVE-2022-28756. Ifølge manden er det i øjeblikket muligt at foretage ændringer i pakken efter verificering af en softwarepakke af Zoom-installationsprogrammet. Softwarepakken beholder sine læse- og skrivetilladelser i macOS og kan stadig ændres mellem kryptografisk kontrol og installation. Zoom reagerede i mellemtiden på Wardles nye afsløringer. Virksomheden siger, at de arbejder på en løsning.