Zoomは、Macアプリのパッチをリリースし、攻撃者にmacOSのroot権限を 与える可能性がある脆弱性を修正しました。
この脆弱性は、先週、金曜日のDef Con ハッキング カンファレンで明らかになりました。Objective-SeeのPatrick Wardle氏は、Zoomのパッチが適用されていない脆弱性について詳しく説明しました。
何度か試みた後、Zoomは土曜日に別のパッチをリリースして、エクスプロイトを排除しようとしました。
責任ある開示プロトコルに従い、2021年 2月に Zoom に通知したにもかかわらず、Wardle氏は、Zoomによる悪用可能なバグを修正する試みが少し不十分であることに気付きました。
Wardle氏は、Zoom アプリケーションで権限昇格攻撃、具体的には Zoom 自体のインストーラーを利用する攻撃を発見しました。Mac への最初のインストールでユーザーがパスワードを入力する必要があった後、自動アップデーターはスーパーユーザー権限で動作し続けました。
Zoomからのさらなるアップデートでは、Zoomによって署名されていることを確認した後、アップデーターがそれをインストールします。しかし、Wardle氏は、アップデーターが Zoomの署名証明書と同じ名前のファイルで動作し、攻撃の入り口を作ることを発見しました。
苛立たしいことに、Wardle氏は12月に Zoomに語ったが、最初の修正に別のバグが含まれていたため、脆弱性が悪用されたままになっていることがわかった。次に Wardle氏は Zoomに2 つ目のバグについて話しました。
Def Con の数週間前に、Zoomは最初のバグを修正するパッチを発行しましたが、それにもエクスプロイトが機能する可能性があるエクスプロイト可能な要素が含まれていました。
8 月13日、Zoomは macOS クライアント用の別のパッチをリリースしましたが、これも同じ脆弱性を対象としています。セキュリティ速報のページでは、この問題はバージョン 5.7.3 以降の macOS 用のZoom クライアントに影響し、パッチ自体がアプリをバージョン 5.11.5 にすると説明しています。
（via AppleInsider）
Last Updated on 2022年8月15日 by Editor
※このサイトの記事には「噂」や「疑惑」など、不確定な情報が含まれています。ご了承ください。（管理人）
