p class="p1">Исследователи обнаружили уязвимость нулевого дня в Zoom. Сообщается, что её можно использовать для совершения атак с удалённым выполнением кода (RCE). Уязвимость была обнаружена в рамках соревнования для профессионалов в сфере кибербезопасности Pwn2Own, организованного Zero Day Initiative.

Исследователи Computest продемонстрировали цепочку атак с тремя ошибками, которая позволяла удалённо выполнить код на целевой машине. Важно заметить, что всё это не требовало никакого взаимодействия со стороны пользователя. То есть, атаку можно провести совершенно без ведома жертвы. Поскольку Zoom ещё не успела закрыть эту уязвимость, конкретные технические подробности хранятся в секрете, ведь её использование может нанести серьёзный вред. Исследователь безопасности, демонстрирующий механизм работы уязвимости, удалённо запустил приложение калькулятор на взломанном компьютере.

Сообщается, что атака работает как в Zoom для Windows, так и с версией программы для macOS. Версии приложения для iOS и Android пока не протестированы. Zoom поблагодарила исследователей за обнаружение проблемы и заявила, что работает над её устранением. Компания говорит, что уязвимость работает только в Zoom Chat. Атака должна исходить от принятого внешнего контакта или пользователя, который имеет доступ к той же учётной записи организации. Zoom рекомендует пользователям принимать запросы на добавление в контакты только от людей, которых они знают и которым доверяют.

Zoom имеет 90-дневное окно для выпуска патча, устраняющего уязвимость, которое является стандартной практикой для программ раскрытия уязвимостей. Конечным пользователям стоит просто подождать выпуск обновления безопасности, однако тем, кто всерьёз обеспокоен проблемой, рекомендуется временно перейти на использование браузерной версии Zoom, которая не подвержена уязвимости.