0
0
Исследователь безопасности обнаружил уязвимость в популярном видеоконференций приложение зум, который может быть использован, чтобы включить камеру на компьютере Макинтош без разрешения пользователя.
Уязвимость позволяет любому сайту, чтобы насильственно присоединить пользователя к вызову зум, с видеокамеру активируется, без разрешения пользователя,
в объяснил Джонатан Leitschuh посте, опубликованном в понедельник на среду.
Leitschuh-старший инженер-программист в Gradle в, а проект с открытым исходным кодом, основанный в Сан-Франциско. Своей статье показано, как получить код для вставки на сайт, так что все пользователи зум, кто Земли будет мгновенно подключается к зум встречи с их видеокамерами работает.
Код может быть использован злоумышленниками в объявление или в фишинговой кампании, он писал.
Пользователю полный контроль
Зум
противоречили некоторые выводы Leitschuh в понедельник пост главного сотрудника по вопросам информации Ричард Фарли, в том числе утверждение о том, что организатор может включить участника видео по умолчанию.
Организаторов или участников не может переопределить аудио пользователя и настройки видео, Фарли писал. Что включает в себя поворотные камеры или выключить.
Это будет трудно для пользователей изгоев, чтобы скрыть свое участие в заседании, Фарли сохраняется.
«Поскольку клиент масштабирование пользовательского интерфейса выполняется в основном при запуске, было бы очевидны для пользователя, что они случайно вышли на митинг и они могли менять настройки видео или немедленно уйти», — написал он.
Зум не видел ни одного экземпляра Leitschuh уязвимость эксплуатируется в условиях дикой природы, пишет Фарли.
Тем не менее, в следующем обновлении зум, пользователи смогут применить параметры, которые они использовали для своей первой сессии зума для всех будущих сессий автоматически, отметил он.
Мишень на спине зум
Leitschuh также обнаружили, что он обнаружил уязвимость может быть использована для запуска отказ в обслуживании нападения на отдельные машины. Это позволит отправить повторные приглашения на мак, которые в конечном итоге будут ее закрывать.
«У нас нет доказательств, что это когда-нибудь произошло», — пишет Фарли.
Тем не менее, он признал, что компания выпустила исправление для этой проблемы в мае, хотя зум не заставляют своих пользователей обновлять, потому что он был эмпирически с низким уровнем риска уязвимости.
Leitschuh была критической масштабирования веб-сервера установки код, чтобы включить его клиент обновить и установить новые версии. Этот код остается на машине, даже если зум будет удалена с компьютера.
«Имея каждый пользователь масштабирования веб-сервер, который принимает запросы HTTP-запросы сделать, что код триггера вне песочницы браузер рисует огромную мишень на увеличение», — написал он.
Leitschuh не одинок в своей критике зум.
«Оставляя сервере даже после удаления неприемлемо», — сказал Грон Мартин, в безопасности исследователь
Аваст, со штаб-квартирой в Праге, Чешская Республика. Аваст делает программное обеспечение, включая антивирусные программы для Мак.
Работая вокруг плохое впечатление
Веб-сервера с ограниченным функционалом был обходной путь, чтобы отразить изменения, внесенные в опере 12, Фарли объяснил. Эти изменения требовали от пользователей подтвердить, что они хотели запустить клиент сигналит каждый раз, когда они вышли на митинг. Веб-сервер Локальный позволяет пользователям присоединяться к собраниям напрямую, минуя этот шаг.
«Мы считаем, что это законное решение проблемы плохого пользовательского опыта, что позволяет нашим пользователям еще быстрее, один клик-К-принимать участие в собраниях,» Фарли писал.
«Мы не одиноки среди видео-конференц-связи поставщикам в реализации этого решения», — добавил он.
Там нет простой способ, чтобы удалить клиент масштаба и веб-сервер приложений на Мак после того, как клиент запускается зум, Фарли признал, однако он добавил, что новое приложение для удаления файлов как ожидается в эти выходные.
До этого времени пользователи должны отключить параметр, который в включает камеру при вступлении заседании, а также запретить браузеру автоматически открывать приложение зум для масштабирования ссылки, Грон Аваст сказал что школа в аварийном состоянии.
Кошмар Конфиденциальности
Уязвимость может быть плохой новостью для пользователей Мак масштаба, число которых составляет более 4 млн, по данным Leitschuh.
«Хотя большинство пользователей масштабирования на предприятии, еще они и потребители, и эта уязвимость может привести в кошмар конфиденциальности, если их рабочие компьютеры используются дома или по личным причинам», — сказал Грон.
«Любой сайт может превратиться в клиенте зум с поддержкой видео, которые, по сути, мог превратить повседневный сеанса в серьезное вторжение в частную жизнь в семье», — пояснил он.
Наличие камеры и поддержка звука на Мак без вашего ведома может создать ряд сценариев с плохие результаты, предложил Грег Янг, вице-президент по кибербезопасности в тренд микро, поставщик решений по информационной безопасности со штаб-квартирой в Токио.
«Один из этих результатов может быть использование захваченного видео или скриншоты для шантажа», — сказал он мультфильмы.
«Другой при вводе данные кредитной карты онлайн, мы все держать карту перед нами в поле зрения камеры, и, как правило, перевернуть его хотя бы раз», — говорит Янг.
Предприятия должны быть слишком обеспокоены, — отметил Адам Kujawa, директор лаборатории по
Компания компания Malwarebytes, Санта-Клара, Калифорния-производителя антивредоносного программного обеспечения для ОС Windows, для ОС macOS, Андроид и иос.
«Если что-то сказал и показал на камеру может быть шпионил, что может быть весьма опасно для компании с много IP-адресов, чтобы скрывать», — сказал он мультфильмы.
Трудно использовать, использовать легко
Изъян будет сложно для киберпреступников, чтобы вооружить в любой форме эффективной, сказал Kujawa, но и удобство эксплуатации пригласит пошалить.
«Просто послать убедительное письмо со ссылкой, которая указывает на локальный сервер и подождать для пользователей, — заметил он, — или поделиться им в социальных сетях.»
Это практика в индустрии, чтобы дать производитель программного обеспечения 90 дней, чтобы исправить недостатки, найденные охотниками ошибка.
«К сожалению, увеличение не исправила эту уязвимость в отведенный 90-дневный период им дал я раскрытия, а является отраслевым стандартом,» Leitschuh писал. «Четыре-плюс миллионов пользователей масштабирования на Mac и теперь беззащитны перед вторжением в их частную жизнь с помощью этого сервиса.»
