Специалисты компании Acros Security сообщили об опасном баг в Windows-клиенте приложения для видеоконференций Zoom. Исследователи сообщают, что уязвимость представляет угрозу для Windows 7, Windows Server 2008 R2, а также более ранних версий ОС. Подчеркивается, что баг нашли не сами эксперты Acros Security, а некий ИБ-специалист, пожелавший остаться неизвестным.
Эксплуатация уязвимости, которая в итоге приводит к выполнению произвольного кода на компьютере жертве, весьма проста: достаточно вынудить целевого пользователя Zoom открыть вредоносный документ. Причем никаких предупреждений о потенциальной опасности пользователь не увидит.
Хотя о проблеме уже сообщил инженерам Zoom, патча для нее пока нет, хотя работа над ним уже ведется. Поэтому специалисты Acros Security, занимающиеся разработкой решения 0patch, пока подготовили временное исправление. Напомню, что 0patch – это платформа, предназначенная как раз для таких ситуаций, то есть исправления 0-day и других непропатченных уязвимостей, для поддержки продуктов, которые уже не поддерживаются производителями, кастомного софта и так далее.
Демонстрацию уязвимости в действии, а также блокирование бага посредством 0patch можно увидеть ниже.
Представители Zoom пока не называют точных сроков выхода патча.
Интересно, что об уязвимости нулевого дня стало известно именно тогда, когда компания Zoom наконец вернулась к активной работе над приложением. Напомню, что в апреле текущего года, после серьезной критики со стороны ИБ-сообщества, Zoom приостановила разработку на 90 дней и в этот период занималась исключительно улучшением безопасности своего продукта.
За прошедшие месяцы компания учла множество рекомендаций специалистов, исправила ряд проблем с безопасностью, создала программу bug bounty, учредила совет CISO, а также пригласила множество сторонних экспертов для дальнейшей работы над развитием Zoom (например, бывшего главу по безопасности Facebook Алекса Стамоса).
В конце июня руководство Zoom сообщило, что новым главой по информационной безопасности компании станет Джейсон Ли (Jason Lee), который ранее занимал должность старшего вице-президента Salesforce по вопросам безопасности.
