برنامج Zoom for Mac Patches الخلل المتستر "spy-on-me" - قم بالتحديث الآن!

شائع وفي كل مكان (البرنامج ليس دائمًا كلا الأمرين!) أعلنت شركة اجتماعات السحابة Zoom مؤخرًا عن خطأ لم يكن من المفترض حدوثه في إصدار Mac من برنامجها.

نشرة الأمن مكتوبة ، على نحو مقبول ، بالأسلوب المعتاد المتقطع والمليء بالمصطلحات لصائدي الأخطاء ، لكن المعنى واضح إلى حد ما.

تم الإشارة إلى الخطأ CVE-2022-28762، وهو مفصل في نشرة التكبير ZB-22023:

عند تمكين سياق عرض وضع الكاميرا كجزء من Zoom App Layers API عن طريق تشغيل تطبيقات Zoom معينة ، يتم فتح منفذ تصحيح أخطاء محلي بواسطة عميل Zoom.

اين تفضل الذهاب اليوم؟

يشير "منفذ التصحيح" عادةً إلى اتصال شبكة استماع ، عادةً ما يكون مقبس TCP ، والذي يعالج طلبات التصحيح.

بنفس الطريقة التي يستمع بها خادم البريد الإلكتروني عادةً إلى منفذ TCP 25 ، في انتظار عملاء البريد الإلكتروني عن بُعد "للاتصال" عبر الشبكة وطلب الإذن لتسليم الرسائل الواردة ، تستمع منافذ التصحيح إلى منفذ من اختيارهم (غالبًا ما يكون قابلاً للتكوين ، وإن كان أحيانًا بطريقة غير موثقة فقط) للاتصالات الواردة التي تريد إصدار أوامر تصحيح الأخطاء.

على عكس خادم البريد الإلكتروني ، الذي يقبل الطلبات المتعلقة بتسليم الرسائل (على سبيل المثال ، MAIL FROM و RCPT TO) ، عادةً ما توفر اتصالات التصحيح نوعًا أكثر حميمية من التفاعل مع التطبيق الذي تتصل به.

في الواقع ، تسمح لك منافذ تصحيح الأخطاء عمومًا ليس فقط بمعرفة التكوين والحالة الداخلية للتطبيق نفسه ، ولكن أيضًا لإصدار أوامر مباشرة إلى التطبيق ، بما في ذلك نوع أوامر تقليل الأمان غير المتاحة للمستخدمين العاديين. عبر واجهة المستخدم العادية.

يتيح لك خادم البريد الإلكتروني ، على سبيل المثال ، عادةً إرسال رسالة إلى منفذ TCP الخاص به للحصول على اسم مستخدم من اختيارك ، ولكنه لن يسمح لك بإرسال أوامر تعيد تكوين الخادم نفسه ، ولن يسمح لك باستخراج المعلومات السرية مثل إحصائيات الخادم أو رسائل الأشخاص الآخرين.

في المقابل ، هذه هي بالضبط نوع "الميزات" التي تسمح بها منافذ تصحيح الأخطاء بشكل معتاد ، بحيث يمكن للمطورين تعديل ومراقبة سلوك تطبيقاتهم أثناء محاولتهم إصلاح المشكلات ، دون الحاجة إلى المرور عبر واجهة المستخدم العادية.

(يمكنك أن ترى كيف سيكون هذا النوع من "القناة الجانبية" في أحشاء التطبيق مفيدًا بشكل خاص عندما تحاول تصحيح أخطاء واجهة المستخدم نفسها ، نظرًا لأن فعل استخدام واجهة المستخدم لتصحيح أخطاء واجهة المستخدم سيتداخل بالتأكيد من خلال نفس القياسات التي كنت تحاول القيام بها.)

وتجدر الإشارة إلى أن منافذ تصحيح الأخطاء تتيح لك عادةً الحصول على نوع من "العرض الداخلي" للتطبيق نفسه ، مثل: نظرة خاطفة إلى مناطق الذاكرة التي لن تتعرض عادةً لمستخدمي التطبيق ؛ الحصول على لقطات البيانات التي يمكن أن تحتوي على بيانات سرية مثل كلمات المرور ورموز الوصول ؛ وتشغيل تسجيلات الصوت أو الفيديو دون تنبيه المستخدم ...

... كل ذلك بدون تسجيل الدخول إلى التطبيق أو الخدمة في المقام الأول.

بعبارة أخرى ، تعد منافذ تصحيح الأخطاء شرًا ضروريًا للاستخدام أثناء التطوير والاختبار ، لكن لا يُفترض أن يتم تنشيطها ، أو من الناحية المثالية حتى يمكن تنشيطها ، أثناء الاستخدام المنتظم للتطبيق ، بسبب الثغرات الأمنية الواضحة التي تسببها.

لا حاجة لكلمة مرور

بشكل فضفاض ، إذا كان لديك وصول إلى منفذ TCP الذي يستمع إليه مصحح الأخطاء ، ويمكنك إنشاء اتصال TCP به ، فهذا هو كل المصادقة التي تحتاجها لتولي التطبيق.

ولهذا السبب لا يتم تمكين منافذ تصحيح الأخطاء عادةً إلا في ظل ظروف يتم التحكم فيها بعناية ، عندما تعلم أنك تريد حقًا السماح للمطور بالتجول داخل التطبيق ، والاستمتاع بما هو غير منظم بشكل فعال ومن المحتمل أن يكون وصول قوة عظمى خطير.

في الواقع ، يتم إنشاء العديد من منتجات البرامج بشكل متعمد في نسختين مختلفتين: بناء تصحيح الأخطاء ، حيث يمكن تشغيل تصحيح الأخطاء إذا رغبت في ذلك ، وإصدار إصدار يتم فيه حذف ميزات تصحيح الأخطاء تمامًا بحيث لا يمكن تنشيطها على الإطلاق ، سواء عن طريق حادث أو عن طريق التصميم.

تشتمل هواتف Android من Google على وضع تصحيح الأخطاء ، حيث يمكنك توصيل كبل USB والحفر في الهاتف (وإن لم يكن بصلاحيات الجذر الكاملة) من الكمبيوتر المحمول الخاص بك عبر ما يُعرف باسم ADB ، وهو اختصار لـ جسر تصحيح Android. لتمكين تصحيح الأخطاء على الإطلاق ، تحتاج أولاً إلى النقر فوق الإعدادات > حول الهاتف > اكمل العدد سبع مرات (حقًا!) على التوالي. عندها فقط يظهر خيار تشغيل تصحيح الأخطاء في القوائم ، حيث يمكنك تنشيطه في الإعدادات > System > متقدم > خيارات المطور > أوسب التصحيح. بعد ذلك ، عندما تقوم بالتوصيل ومحاولة الاتصال من جهاز الكمبيوتر المحمول الخاص بك ، يجب عليك تفويض الاتصال عبر نافذة تحذير منبثقة على الهاتف نفسه. يمكنك بالتأكيد القيام بذلك عن قصد ، إذا كان لديك وصول مادي إلى هاتف غير مقفل ، ولكن من غير المحتمل أن يحدث ذلك عن طريق الخطأ.

لمزيد من الأمان ، غالبًا ما يتم إعداد منافذ التصحيح بحيث لا تقبل الاتصالات التي تأتي من أجهزة كمبيوتر أخرى (من الناحية الفنية ، فإنها تستمع إلى واجهة "المضيف المحلي" فقط).

هذا يعني أن المهاجم الذي يسعى لإساءة استخدام واجهة تصحيح أخطاء ممكّنة بشكل غير صحيح سيحتاج إلى موطئ قدم على جهاز الكمبيوتر الخاص بك أولاً ، مثل نوع من البرامج الضارة للوكيل التي تقبل نفسها الاتصالات عبر الإنترنت ، ثم تنقل حزم الشبكة الخاصة بها إلى واجهة شبكة "المضيف المحلي".

على الرغم من الحاجة إلى نوع من الوصول المحلي في حالة CVE-2022-28762 ، إلا أن Zoom أعطى هذا الخطأ "درجة خطورة" لـ CVSS تبلغ 7.3 / 10 (73٪) ، وتقييم للإلحاح يبلغ مرتفع.

عادةً ما يتم تصميم اتصالات شبكة TCP المحلية للعمل عبر حدود المستخدم والمعالجة ، لذلك لن يحتاج المهاجم إلى تسجيل الدخول بصفتك (أو كمسؤول) لإساءة استخدام هذا الخطأ - أي عملية ، حتى برنامج يعمل ضمن نطاق محدود للغاية حساب الضيف ، قد يكون قادرًا على التجسس عليك متى شئت.

علاوة على ذلك ، نظرًا لأن أوامر البرامج التي يتم إصدارها عبر منفذ تصحيح الأخطاء تعمل عادةً بشكل مستقل عن واجهة المستخدم العادية للتطبيق ، فمن المحتمل ألا ترى أي إشارات على أن جلسة Zoom الخاصة بك قد اختطفت بهذه الطريقة.

إذا كان المهاجم ينشط التطبيق عبر المزيد من قنوات التحكم عن بعد التقليدية في Mac مثل Screen Sharing (VNC) ، فستتاح لك على الأقل فرصة اكتشاف المهاجم الذي يحرك مؤشر الماوس حوله ، أو النقر فوق أزرار القائمة ، أو كتابة نص ...

... ولكن من خلال واجهة تصحيح الأخطاء ، والتي تعد في الأساس بابًا خلفيًا متعمدًا ، قد تكون غير مدرك بسعادة (وربما حتى غير قادر على اكتشاف) أن المهاجم كان يتطفل عليك شخصيًا جدًا ، باستخدام كاميرا الويب والميكروفون.

ماذا ستفعلين.. إذًا؟

لحسن الحظ ، اكتشف فريق الأمان الخاص بـ Zoom ما نفترض أنه خطأ فادح في وقت البناء (ميزة تُركت ممكّنة كان يجب إيقافها) ، وقام على الفور بتحديث برنامج Mac الذي يحتوي على أخطاء.

قم بالتحديث إلى macOS Zoom Client الخاص بك إلى الإصدار 5.12.0 أو أحدث وسيظل منفذ التصحيح مغلقًا عند استخدام Zoom.

على جهاز Mac ، انتقل إلى الملف الرئيسي zoom.us القائمة واختيار Check for Updates... لمعرفة ما إذا كان لديك أحدث إصدار.

---