Si está utilizando Zoom, especialmente durante este momento difícil para hacer frente a su escolaridad, negocio o compromiso social, asegúrese de estar ejecutando la última versión del popular software de videoconferencia en sus computadoras Windows, macOS o Linux.
No, no se trata de la llegada de la función de cifrado de extremo a extremo "real" más esperada, que aparentemente, según las últimas noticias, ahora solo estaría disponible para los usuarios de pagos . En cambio, esta última advertencia trata sobre dos vulnerabilidades críticas recientemente descubiertas.
Investigadores de ciberseguridad de Cisco Talos revelaron hoy que descubrió dos vulnerabilidades críticas en el software Zoom, eso podría haber permitido a los atacantes piratear los sistemas de participantes de chat grupal o un destinatario individual de forma remota.
Ambas fallas en cuestión son vulnerabilidades de recorrido de ruta que pueden explotarse para escribir o plantar archivos arbitrarios en los sistemas que ejecutan versiones vulnerables del software de videoconferencia para ejecutar código malicioso.
Según los investigadores, la explotación exitosa de ambos defectos requiere poca o ninguna interacción por parte de los participantes del chat y puede ejecutarse simplemente enviando mensajes especialmente diseñados a través de la función de chat a un individuo o grupo.
La primera vulnerabilidad de seguridad ( CVE-2020-6109 ) residía en la forma en que Zoom aprovecha el servicio GIPHY, recientemente comprado por Facebook, para permitir a sus usuarios buscar e intercambiar GIF animados mientras chatean.
Los investigadores encuentran que la aplicación Zoom no verificó si un GIF compartido se está cargando desde el servicio Giphy o no, lo que permite que un atacante incruste GIF desde un servidor controlado por atacante de terceros, que amplía por caché de diseño / almacenar en el sistema de los destinatarios en Una carpeta específica asociada con la aplicación.
Además de eso, dado que la aplicación tampoco verificaba los nombres de los archivos, podría haber permitido a los atacantes lograr el recorrido del directorio, engañando a la aplicación para que guarde archivos maliciosos disfrazados como GIF en cualquier ubicación del sistema de la víctima, por ejemplo, la carpeta de inicio.
La segunda vulnerabilidad de ejecución remota de código ( CVE-2020-6110 ) residía en la forma en que las versiones vulnerables de los fragmentos de código de proceso de la aplicación Zoom se compartían a través del chat.
"La funcionalidad de chat de Zoom está construida sobre el estándar XMPP con extensiones adicionales para admitir la rica experiencia del usuario. Una de esas extensiones admite una función que incluye fragmentos de código fuente que tienen soporte para resaltar la sintaxis completa. La función para enviar fragmentos de código requiere la instalación de un complemento adicional, pero recibirlos no. Esta característica se implementa como una extensión del soporte para compartir archivos ", dijeron los investigadores .
Esta característica crea un archivo zip del fragmento de código compartido antes de enviarlo y luego lo descomprime automáticamente en el sistema del destinatario.
Según los investigadores, la función de extracción del archivo zip de Zoom no valida el contenido del archivo zip antes de extraerlo, lo que permite al atacante plantar binarios arbitrarios en computadoras específicas.
"Además, un problema de recorrido parcial de la ruta permite que el archivo zip especialmente diseñado escriba archivos fuera del directorio generado aleatoriamente", dijeron los investigadores.
Los investigadores de Cisco Talos probaron ambos defectos en la versión 4.6.10 de la aplicación cliente Zoom y lo informaron de manera responsable a la empresa.
Lanzado el mes pasado, Zoom parchó ambas vulnerabilidades críticas con el lanzamiento de la versión 4.6.12 de su software de videoconferencia para computadoras Windows, macOS o Linux.
