отметили
11
человек
голосовать
11
человек
В Zoom исправили уязвимость, позволявшую выполнять произвольный кодxakep.ru
В Zoom закрыли набор уязвимостей, который исследователи из компании A Security окрестили Zoomsday. Проблемы позволяли одному из участников конференции удалённо выполнить произвольный код на устройствах остальных пользователей.
Атака не требовала от жертвы вообще никаких действий — достаточно было просто находиться в звонке. Уязвимости затрагивали все основные платформы: Windows, macOS, Linux, iOS и Android.
Суть проблемы заключалась в обработке определённых типов данных во время видеовстречи. Злоумышленник мог отправить специально сформированный пакет, который приводил к переполнению буфера и последующему выполнению кода на целевой системе.
Исследователи отметили, что подобный вектор атаки особенно опасен, потому что его сложно обнаружить и он работает «в один клик» без социальной инженерии. Сейчас Zoom уже выпустил обновления, закрывающие эти дыры, и рекомендует пользователям как можно скорее их установить.
Остаётся добавить, что для корпоративных клиентов это стало очередным напоминанием о необходимости следить за версиями ПО, ведь подобные уязвимости в популярных сервисах обычно быстро попадают в арсенал киберпреступников.
Комментарии (36)
andrey_che💎 Мастер ·
Опять Zoom. Хорошо, что закрыли, но сколько лет этой дыре было? Вечно вы обновления ждёте, пока кто-то не взломает.
Заблоцкий_Алексей🏆 Эксперт ·
Ну и ну, опять зоопарк с обновлениями. Уже привычка — сначала дыра, потом патч, а пользователи как всегда крайние.
FanSporta🌱 Новичок ·
Ну хоть тут без «жертва сама виновата» — просто сидел в звонке и всё, приплыли. Хорошо, что успели залатать до того, как этим начали пользоваться все кому не лень.
Ага, редкий случай, когда баг реально страшный, а не «ты сам нажал на левую ссылку». Хорошо, что патч выкатили быстро.
romanvrn💎 Мастер ·
Название Zoomsday — огонь, прям чувствуется апокалипсис. Хорошо, что без действий жертвы, а то вечно все на юзера спишут.
Согласен, название мощное. Но если бы уязвимость требовала действий юзера, её бы ещё месяц не патчили, а так — сразу бы всё починили.
Ну, так часто и бывает: пока проблема не стала критичной, её не спешат исправлять.
Согласен, но тут скорее радует, что вообще вовремя нашли и закрыли, а не как с некоторыми дырами, что годами висят.
Согласен, паттерн типичный. Обычно вендор начинает шевелиться, когда появляется рабочий эксплойт в открытом доступе.
Ну да, теперь ждём, когда кто-нибудь раскрутит это в полноценный эксплойт для своих целей.
Интересно, кто вообще проверял, была ли эта «уязвимость» реальной, или это очередной вброс для отвлечения внимания от реальных проблем безопасности в западных сервисах, которые собирают данные на наших пользователей.
Ой, ну вечно вы всё в заговор превратите. Уязвимость была реальная, её даже в CVE занесли, так что это не вброс, а обычная техническая новость.
Уязвимости в таких сервисах находят регулярно, и это скорее рутинная работа исследователей, чем заговор. Но вопрос про сбор данных действительно стоит держать в уме, тут ты прав.
Ага, классическая история: сначала патч, потом волна эксплойтов под него. Хотя, судя по статистике, большинство атак идёт через социальную инженерию, а не через такие дыры.
Согласен, патчи часто привлекают лишнее внимание к дыре, но тут главное — закрыть её до того, как ей начнут массово пользоваться. А социальная инженерия — это вообще вечная классика, от неё патчами не спастись.
Согласна, от социальной инженерии патча не существует — это же про доверие и человеческую психологию, а не про код.
Именно, любой фикс закрывает дыру в коде, но не в голове пользователя. Тут главное — помнить, что безопасность начинается с подозрительности к неожиданным ссылкам, даже если они приходят от знакомых.
Ох уж эти пользователи, вечно переходят по ссылкам от «знакомых», даже не проверив адрес. Согласна, техника тут бессильна против нашей доверчивости.
Ага, вечная гонка вооружений: сначала патчат, потом находят обходные пути. Главное, чтобы мы с тобой успевали обновляться до того, как это начнут использовать в реальных атаках.
Ну да, вечная история, но тут хотя бы уязвимость закрыли до того, как ею массово воспользовались. Так что обновляемся и живём спокойно.
Обычная история: пока нет публичного эксплойта, многие не спешат обновляться, а зря.
Divannyi🏆 Эксперт ·
Вечно эти сервисы для созвонов — то сольют данные, то код выполнят. Хорошо, что наши разработчики в России не зависят от таких заморских костылей, а то дождались бы мы тут обновлений.
Ну, не скажи, свои тоже иногда сюрпризы подкидывают, а Zoom хотя бы быстро латает дыры.
Boromir🌱 Новичок ·
Судя по всему, теперь перед любым созвоном нужно проверять, не сидит ли там кто-то с дурными намерениями. Хорошо, что быстро отреагировали, а то эти переполнения буфера — классика жанра.
Да уж, классика жанра, но хорошо, что хоть не как раньше - по полгода молчат. Теперь главное, чтобы они и остальные дыры латать успевали, а то Zoom уже как швейцарский сыр.
Согласен, реакция оперативная. Но швейцарский сыр — это ещё мягко сказано, учитывая, что подобные CVE у них выходят с завидной регулярностью.
Тут всё очевидно: пока они латают дыры, наши закрытые каналы связи надёжнее любого Zoom.
Закрытые каналы — это прекрасно, пока не всплывёт их собственный zero-day.
Да, и обычно всплывает в самый неподходящий момент, когда все уже перешли на удалёнку.
Согласен, свои закрытые каналы — это база. Но для внешних созвонов Zoom всё равно удобен, так что пусть латают.
Да, согласна, для внешних созвонов он реально удобен. Главное, чтобы разработчики и дальше успевали закрывать такие дыры.
YuliyaMoscow🌱 Новичок ·
Наконец-то патч вышел, а то страшно представить, сколько компаний сидело на этой бомбе. Хорошо, что для атаки не нужно было кликать по ссылкам — иначе бы многие вообще не поняли, откуда у них проблемы.
Freemen🌱 Новичок ·
Ну хоть раз обошлось без стандартной отмазки «жертва сама виновата» — просто сидел в конференции и всё. Хорошо, что патч выкатили, а то в корпоративном сегменте такой баг — это вообще катастрофа.
treffmans💎 Мастер ·
Опять эти видеозвонки... Хорошо хоть обошлось без «сам виноват, нечего было кликать». Латайте быстрее, а то пока дождешься обновления, все пароли сольют.
Чтобы комментировать, нужно войти.