Bir güvenlik araştırmacısı, macOS için görüntülü arama yazılımı güncelleme aracı Zoom'da kök erişimine izin veren iki güvenlik açığı keşfetti. Şirket güvenlik açıklarını düzelttikten sonra, adam yeni bir güvenlik açığı keşfetti.
Güvenlik araştırmacısı Patrick Wardle, Las Vegas'taki DefCon hackleme etkinliğinde bulgularını paylaştı. Orada, Zoom'un macOS için otomatik güncelleme aracının imza kontrolünün nasıl atlanacağını açıkladı. İlk güvenlik açığı olan CVE-2022-28751'de, kullanıcıların yalnızca bir dosyanın dosya adını, güncelleme aracının aradığı sertifikayla aynı değerleri içermesi için değiştirmesi gerekiyordu. Adam Wired'a “Yazılıma belirli bir ad vermeniz yeterli ve kısa sürede kriptografik kontrolü geçmiş olursunuz” dedi.
Wardle, 2021'in sonundaki güvenlik açığı hakkında Zoom'u bilgilendirmişti ve Wardle'a göre şirketin yayınladığı düzeltme yeni bir güvenlik açığı içeriyordu. Zoom'un macOS için updater.app uygulamasının görüntülü arama yazılımının daha eski bir sürümünü kabul etmesini sağladı, böylece en yeni sürüm yerine bu sürümü dağıtmaya başladı. Kötü niyetli taraflara, CVE2022-22781 güvenlik açığı aracılığıyla aniden eski Zoom yazılımındaki güvenlik açıklarından yararlanma fırsatı verildi. Anladım, çünkü Zoom şimdi bir güncelleme yoluyla yukarıdaki iki güvenlik açığını düzeltti.
Ancak Wardle orada da bir güvenlik açığı buldu, CVE-2022-28756. Adama göre, bir yazılım paketinin Zoom yükleyicisi tarafından doğrulanmasından sonra pakette değişiklik yapmak şu anda mümkün. Yazılım paketi, okuma-yazma izinlerini macOS'te korur ve yine de kriptografik kontrol ile kurulum arasında değiştirilebilir. Bu arada Zoom, Wardle'ın yeni ifşaatlarına yanıt verdi. Şirket bir çözüm üzerinde çalıştığını söylüyor.