Turvauurija avastas MacOS-i videokõnede tarkvara värskendustööriistas Zoom kaks haavatavust, mis võimaldasid juurjuurdepääsu. Pärast seda, kui ettevõte haavatavused lappis, avastas mees uue haavatavuse.
Turvateadlane Patrick Wardle jagas oma tulemusi DefConi häkkimisüritusel Las Vegases. Seal selgitas ta, kuidas Zoomi macOS-i automaatse värskendustööriista allkirjakontrollist mööda minna. Esimese haavatavuse CVE-2022-28751 puhul pidid kasutajad muutma ainult faili failinime nii, et see sisaldaks samu väärtusi kui värskendustööriista otsitud sertifikaadil. "Peate lihtsalt andma tarkvarale kindla nime ja olete kiiresti krüptograafilisest kontrollist möödas," ütles mees Wiredile.
Wardle teavitas Zoomi haavatavusest 2021. aasta lõpus ja ettevõtte välja antud parandus sisaldas Wardle'i sõnul uut haavatavust. Ta suutis Zoomi updater.app for macOS-ile panna videokõnede tarkvara vanema versiooni aktsepteerima, nii et see hakkas levitama seda versiooni uusima versiooni asemel. Pahatahtlikud osapooled said ootamatult võimaluse haavatavuse CVE2022-22781 kaudu ära kasutada vanema Zoomi tarkvara turvaauke. Sain, sest Zoom on nüüd värskenduse kaudu parandanud kaks ülaltoodud turvaauku.
Kuid Wardle leidis sealt ka haavatavuse, CVE-2022-28756. Mehe sõnul on hetkel võimalik paketis muudatusi teha pärast tarkvarapaketi kontrollimist Zoomi paigaldaja poolt. Tarkvarapakett säilitab oma lugemis- ja kirjutamisõigused macOS-is ja seda saab krüptograafilise kontrollimise ja installimise vahel siiski muuta. Zoom vastas samal ajal Wardle'i uutele paljastustele. Ettevõte ütleb, et töötab lahenduse kallal.