Akýkoľvek Mac s aplikáciou Zoom telekonferencie je možné špehovať práve teraz. Áno, je to zlý deň pre zabezpečenie spoločnosti Apple, pretože škodlivé webové stránky je možné kódovať na diaľkové spustenie videokonferenčného hovoru na počítači Mac - a útok je možné dokonca odoslať e -mailom.
Táto správa, ktorú odhalil bezpečnostný výskumník Jonathan Leitschuh, ukazuje, že dokonca aj počítače Mac, ktoré už nemajú nainštalovaný Zoom - ale kedysi to urobili - sú zraniteľné. Dobrou správou však je, že existujú riešenia (jedno je však vážne náročné) a zdá sa, že Zoom to všetko čoskoro napraví.
Čo teraz
Oprava, vďaka tomu, že Zoom zmenil svoj postoj, sa zdá byť rovnako jednoduchá ako prijatie aktualizácií Zoom, ako prichádzajú. V aktualizácii veľkého blogu spoločnosti Zoom o chybe spoločnosť uviedla, že oprava, ktorá príde dnes večer (9. júla) o 3.00 hod. EST/polnoci PST, vyrieši veci. Používatelia budú vyzvaní na aktualizáciu aplikácie a na to, že po dokončení aktualizácie „bude lokálny webový server z tohto zariadenia úplne odstránený“.
Aktualizácia tiež údajne zlepší postup odinštalovania. Príspevok spoločnosti Zoom uvádza: „Na panel s ponukami Lupa pridávame novú možnosť, ktorá umožní používateľom manuálne a úplne odinštalovať klienta Zoom vrátane miestneho webového servera.“
Tešíme sa na to, či si Jonathan Leitschuh a ďalší bezpečnostní vedci myslia, že Zoom robí dôkladnú a správnu prácu.
Ak chcete zabezpečiť svoj Mac, otvorte Nastavenia pre priblíženie - kliknite na Lupa na paneli s ponukami, potom kliknite na Nastavenia - a otvorte sekciu Video. Potom začiarknite políčko vedľa položky „Vypnúť moje video pri pripájaní k schôdzi“.
Leitschuh vo svojom príspevku tiež zdieľal kód na použitie v termináli. Tieto pokyny sú trochu komplikované a sú najlepšie pre pokročilých používateľov, ktorí by to uprednostnili. Tieto tipy slúžia na odstránenie webového servera, ktorý Zoom vytvára na počítačoch Mac.
Ako to funguje
Áno, to je všetko možné, pretože Zoom tajne inštaluje na počítače Mac webový server, ktorý prijíma a prijíma požiadavky, ktoré vaše webové prehliadače neprijímajú. Leitschuh vysvetlil, že sa pokúsil pracovať so spoločnosťou Zoom, pričom sa na spoločnosť obrátil minulý rok v marci, ale že jej „riešenia nestačia na úplnú ochranu ich používateľov“.
Ako som už spomenul, zraniteľní sú dokonca aj tí používatelia, ktorí si odinštalovali program Zoom zo svojich počítačov Mac. Leitschuh vysvetľuje, že webový server nainštalovaný programom Zoom zostáva pozadu aj po odstránení programu a že na serveri je možné vzdialene spustiť aktualizáciu a automatickú inštaláciu najnovšej verzie programu Zoom.
Och, a obeť ani nemusí byť podvedená, aby otvoril webovú stránku. Po prvé, používateľ Vimeo „fun jon“ zverejnil video dôkaz, že na túto chybu môžete zaútočiť e -mailom a cieľ nemusí správu ani otvoriť. Jednoducho musia používať aplikáciu e -mailového klienta, ktorá stiahne škodlivo kódovanú správu.
Potom, čo sa Leitschuh pohádal so spoločnosťou Zoom, tvrdiac, že spoločnosti povedal, že „umožniť hostiteľovi, aby si vybral, či sa účastník automaticky pripojí k videu“, je „samostatná chyba zabezpečenia“, spoločnosť nesúhlasila a svoje rozhodnutie považovala za pro-user: je presvedčený, že dáva našim zákazníkom možnosť rozhodnúť sa, ako chcú priblížiť. “
Chcete to vidieť na vlastné oči?
Ak ste niekedy mali na svojom zariadení Zoom, môžete sa o tom presvedčiť.
Vyhľadajte v blogu Leitschuh frázu „zoom_vulnerability_poc/“ - pretože to je odkaz na jeho dôkaz konceptu, ktorý spustí výzvu Zoom. Prvá je verzia iba pre zvuk; druhý odkaz, ktorý obsahuje v adrese URL „iframe“, začne hovor s aktívnym videom.
Touto chybou priblíženia sú banány. Vyskúšal som jeden z dôkazov koncepčných odkazov a spojil som sa s ďalšími tromi randami, ktorí z toho v reálnom čase tiež šaleli. https://t.co/w7JKHk8nZypic.twitter.com/arOE6DbQaf - Matt Haughey (@mathowie) 9. júla 2022-2023 - 2022
Tento článok sa pôvodne objavil v Tomovom sprievodcovi.
- Recenzia macOS Catalina Beta
- Použil som myš s iPadOS a funguje to takto
- iPadOS Beta recenzia