Uważaj na Zoom. Groźna luka pozwala przejąć kontrolę bez twojej wiedzy

Badacze bezpieczeństwa wykryli poważną lukę w Zoomie, która pozwalała atakującemu na zdalne wykonanie kodu na urządzeniu innego uczestnika spotkania. Atak mógł zostać przeprowadzony bez żadnej interakcji ze strony ofiary i obejmował wszystkie systemy obsługiwane przez Zoom, w tym Windowsa, macOS, Linuxa, iOS oraz Androida. Luka została już zgłoszona i naprawiona, jednak uwagę zwraca również sposób, w jaki ją znaleziono.

Podatność odkryła firma zajmująca się cyberbezpieczeństwem A Security. Według informacji przekazanych Wired problem występował podczas spotkań, na których wykorzystywano udostępnianie ekranu. Narażeni mogli być zarówno zwykli uczestnicy rozmowy, jak i jej gospodarz, a wykorzystanie błędu nie wymagało kliknięcia podejrzanego odnośnika, pobrania pliku czy zaakceptowania dodatkowego komunikatu.

Jak działała luka

W praktyce napastnik uczestniczący w odpowiednim spotkaniu mógł wykorzystać lukę do wykonania kodu na komputerze lub smartfonie ofiary. Atak miał odbywać się po cichu, a użytkownik nie miał żadnej świadomości, że jego urządzenie zostało zaatakowane. Dla osób wykorzystujących Zoom do spotkań firmowych i rozmów zawierających poufne informacje był to więc potencjalnie bardzo poważny problem.

Badacze bezpieczeństwa wykryli poważną lukę w Zoomie, która pozwalała atakującemu na zdalne wykonanie kodu na urządzeniu innego uczestnika spotkania. Atak mógł zostać przeprowadzony bez żadnej interakcji ze strony ofiary i obejmował wszystkie systemy obsługiwane przez Zoom, w tym Windowsa, macOS, Linuxa, iOS oraz Androida.

Szczególnie interesujący jest jednak sposób znalezienia podatności. A Security twierdzi, że badacze wykorzystali publicznie dostępne modele sztucznej inteligencji i potrzebowali mniej niż 20 poleceń, aby odnaleźć luki oraz przygotować działający sposób ich wykorzystania.

Omer Gull, współzałożyciel A Security, ocenił, że wcześniej podobne zadanie mogłoby wymagać pracy pięcioosobowego zespołu przez około pół roku wraz z wieloma etapami testowania i dopracowywania ataku.

Podatność ta była szczególnie groźna, ponieważ potencjalna ofiara nie musiała samodzielnie wykonywać żadnej czynności. Dlatego osoby korzystające z Zooma muszą upewnić się czy posiadają aktualną wersję programu.