Şirketin bazı geliştiricileri, Zoom web konferans yazılımındaki güvenlik açıklarını yüksek riskli olarak sınıflandırdı. Bazıları, saldırganların kullanıcılara kötü amaçlı kod enjekte etmesine veya sistemdeki hakları genişletmesine izin verebilirdi. Sızıntıları giderecek güncellemeler hazır.
Yakınlaştırma: yüksek riskli güvenlik açığı
En yüksek riskli güvenlik açığı, yerel bir kaydı bir SMB paylaşımına kaydetmek ve ardından dosyayı Zoom web portalından bir bağlantı kullanarak açmakla ilgilidir. Komşu saldırganlar, istemci isteklerine yanıt vermek için kötü amaçlı bir SMB sunucusu kullanabilir ve ardından kendi yürütülebilir dosyalarını kurbanlara dayatabilir (CVE-2023-22885, CVSS 8.3risk”yüksek“).
BT yöneticileri için Zoom istemcisinden Windows yükleyici, saldırganların sistemdeki haklarını genişletmesine izin verdi. Bir saldırı zincirinde, saldırganlar yükleme işlemi sırasında sistem ayrıcalıkları elde edebilir (CVE-2023-22883, CVSS 7.2, yüksek). Benzer bir güvenlik açığı, yerel saldırganların kök ayrıcalıkları elde edebileceği (CVE-2023-22884, CVSS) BT yöneticileri için Zoom istemcisi Mac yükleyicisinde bulunabilir. 5.2, yarım).
Microsoft Edge WebView2 bileşenine yapılan bir güncelleme, Zoom, Zoom Rooms ve Zoom VDI istemcilerini Windows’ta bir bilgi sızıntısına karşı savunmasız hale getirdi. Bileşen, metinleri yerel redaksiyon yerine Microsoft’un çevrimiçi yazım denetleyicisine gönderdi. Bunu düzeltmek için geliştiriciler denetim özelliğini devre dışı bıraktılar (2023-22880, CVSS 6.8, yarım). Başka bir güvenlik açığı, saldırganlar tarafından zoom istemcilerini devre dışı bırakmak için manipüle edilmiş UDP paketleriyle kullanılmış olabilir. Bunlar, işleme sırasında STUN ayrıştırıcısındaki hatalar nedeniyle çöktü ve olası bir hizmet reddine neden oldu (CVE-2023-22881, CVE-2023-22882; her ikisi de CVSS 6.5, yarım).
Güncellenen yazılımla düzeltildi
Güvenlik açıkları, 5.13.5 sürümünden önceki Android, iOS, Linux, macOS ve Windows için Zoom’u, 5.13.5 sürümünden önceki Android, iOS, Linux, macOS ve Windows için Zoom Rooms’u, 5.13.10 sürümünden önceki Zoom VDI Windows Meeting istemcisini etkiler. , 5.13.5 öncesi Windows yükleyicileri için BT Yöneticileri için Toplantılar için Zoom İstemcisi ve 5.13.5 öncesi macOS yükleyicileri için BT Yöneticileri için Toplantılar için Zoom İstemcisi. Üretici, güvenlik bildirimlerini Zoom güvenlik web sitesinde listeler.
Bunlar ayrıca güvenlik açıkları ve bunlardan özellikle etkilenen sürümler hakkında daha fazla ayrıntı içerir. Yöneticiler, güncellenmiş yazılımı Zoom indirme web sitesinden indirebilir. Yazılımda çağrılabilen güncellemeleri kontrol etme işlevi de mevcut durumu bilgisayara aktarmalıdır.
Zoom, bu yılın Ocak ayında en son yazılım güncellemelerini yayınladı. Şirket kendi içinde de çeşitli güvenlik açıklarını kapatmış durumda.
(dmk)
Haberin Sonu
Yakınlaştırma: yüksek riskli güvenlik açığı
En yüksek riskli güvenlik açığı, yerel bir kaydı bir SMB paylaşımına kaydetmek ve ardından dosyayı Zoom web portalından bir bağlantı kullanarak açmakla ilgilidir. Komşu saldırganlar, istemci isteklerine yanıt vermek için kötü amaçlı bir SMB sunucusu kullanabilir ve ardından kendi yürütülebilir dosyalarını kurbanlara dayatabilir (CVE-2023-22885, CVSS 8.3risk”yüksek“).
BT yöneticileri için Zoom istemcisinden Windows yükleyici, saldırganların sistemdeki haklarını genişletmesine izin verdi. Bir saldırı zincirinde, saldırganlar yükleme işlemi sırasında sistem ayrıcalıkları elde edebilir (CVE-2023-22883, CVSS 7.2, yüksek). Benzer bir güvenlik açığı, yerel saldırganların kök ayrıcalıkları elde edebileceği (CVE-2023-22884, CVSS) BT yöneticileri için Zoom istemcisi Mac yükleyicisinde bulunabilir. 5.2, yarım).
Microsoft Edge WebView2 bileşenine yapılan bir güncelleme, Zoom, Zoom Rooms ve Zoom VDI istemcilerini Windows’ta bir bilgi sızıntısına karşı savunmasız hale getirdi. Bileşen, metinleri yerel redaksiyon yerine Microsoft’un çevrimiçi yazım denetleyicisine gönderdi. Bunu düzeltmek için geliştiriciler denetim özelliğini devre dışı bıraktılar (2023-22880, CVSS 6.8, yarım). Başka bir güvenlik açığı, saldırganlar tarafından zoom istemcilerini devre dışı bırakmak için manipüle edilmiş UDP paketleriyle kullanılmış olabilir. Bunlar, işleme sırasında STUN ayrıştırıcısındaki hatalar nedeniyle çöktü ve olası bir hizmet reddine neden oldu (CVE-2023-22881, CVE-2023-22882; her ikisi de CVSS 6.5, yarım).
Güncellenen yazılımla düzeltildi
Güvenlik açıkları, 5.13.5 sürümünden önceki Android, iOS, Linux, macOS ve Windows için Zoom’u, 5.13.5 sürümünden önceki Android, iOS, Linux, macOS ve Windows için Zoom Rooms’u, 5.13.10 sürümünden önceki Zoom VDI Windows Meeting istemcisini etkiler. , 5.13.5 öncesi Windows yükleyicileri için BT Yöneticileri için Toplantılar için Zoom İstemcisi ve 5.13.5 öncesi macOS yükleyicileri için BT Yöneticileri için Toplantılar için Zoom İstemcisi. Üretici, güvenlik bildirimlerini Zoom güvenlik web sitesinde listeler.
Bunlar ayrıca güvenlik açıkları ve bunlardan özellikle etkilenen sürümler hakkında daha fazla ayrıntı içerir. Yöneticiler, güncellenmiş yazılımı Zoom indirme web sitesinden indirebilir. Yazılımda çağrılabilen güncellemeleri kontrol etme işlevi de mevcut durumu bilgisayara aktarmalıdır.
Zoom, bu yılın Ocak ayında en son yazılım güncellemelerini yayınladı. Şirket kendi içinde de çeşitli güvenlik açıklarını kapatmış durumda.
(dmk)
Haberin Sonu