Isang security researcher ang nakatuklas ng dalawang kahinaan sa video calling software update tool na Zoom para sa macOS na nagpapahintulot sa root access. Matapos i-patch ng kumpanya ang mga kahinaan, natuklasan ng lalaki ang isang bagong kahinaan.
Ibinahagi ng security researcher na si Patrick Wardle ang kanyang mga natuklasan sa DefCon hacking event sa Las Vegas. Doon, ipinaliwanag niya kung paano i-bypass ang signature check ng tool ng awtomatikong pag-update ng Zoom para sa macOS. Sa isang unang kahinaan, CVE-2022-28751, kailangan lang ng mga user na baguhin ang filename ng isang file upang naglalaman ito ng parehong mga halaga tulad ng certificate na hinahanap ng tool sa pag-update. "Kailangan mo lang bigyan ang software ng isang tiyak na pangalan at lampas ka sa kontrol ng cryptographic sa anumang oras," sinabi ng lalaki kay Wired.
Ipinaalam ni Wardle kay Zoom ang tungkol sa kahinaan sa katapusan ng 2021 at ang pag-aayos na inilabas ng kumpanya pagkatapos ay naglalaman ng isang bagong kahinaan, ayon kay Wardle. Nakuha niya ang updater.app ng Zoom para sa macOS upang tumanggap ng mas lumang bersyon ng software sa pagtawag sa video, kaya nagsimula itong ipamahagi ang bersyong iyon sa halip na ang pinakabagong bersyon. Ang mga nakakahamak na partido ay biglang nabigyan ng pagkakataon na samantalahin ang mga kahinaan sa mas lumang Zoom software sa pamamagitan ng kahinaan CVE2022-22781. Okay, dahil inayos na ngayon ng Zoom ang dalawang kahinaan sa itaas sa pamamagitan ng isang update.
Ngunit natagpuan din ni Wardle ang isang kahinaan doon, CVE-2022-28756. Ayon sa lalaki, kasalukuyang posibleng gumawa ng mga pagbabago sa package pagkatapos ng pag-verify ng software package ng Zoom installer. Pinapanatili ng software package ang mga read-write na pahintulot nito sa macOS at maaari pa ring baguhin sa pagitan ng cryptographic check at pag-install. Samantala, tumugon si Zoom sa mga bagong paghahayag ni Wardle. Sinasabi ng kumpanya na gumagawa ito ng solusyon.