Zoom for Mac parandab hiiliva "spy-on-min" vea – värskendage kohe!

Populaarne ja üldlevinud (tarkvara ei ole alati mõlemad asjad!) pilvekoosolekuid korraldav ettevõte Zoom teatas hiljuti oma tarkvara Maci versioonis veast, mis ei pidanud juhtuma.

Andestatavalt on turvabülletään kirjutatud veaküttide tüüpilises staccato ja žargoonist läbi imbunud stiilis, kuid tähendus on üsna selge.

Viga on tähistatud CVE-2022-28762ja on üksikasjalikult kirjeldatud Zoom Bulletin ZB-22023:

Kui kaamerarežiimi renderduskontekst on Zoom App Layers API osana lubatud, käivitades teatud Zoom Apps, avab Zoom klient kohaliku silumispordi.

Kuhu tahaksid täna minna?

"Silumisport" viitab tavaliselt kuulavale võrguühendusele, tavaliselt TCP-pesale, mis käsitleb silumistaotlusi.

Samamoodi nagu meiliserver tavaliselt kuulab TCP-porti 25, oodates, kuni kaugmeilikliendid helistavad võrgu kaudu ja taotlevad luba sissetulevate sõnumite edastamiseks, kuulavad silumispordid nende enda valitud porti (sageli konfigureeritav, kuigi mõnikord ainult dokumenteerimata) sissetulevate ühenduste jaoks, mis soovivad anda silumiskäske.

Erinevalt meiliserverist, mis võtab vastu sõnumite edastamisega seotud päringuid (nt MAIL FROM ja RCPT TO), pakuvad silumisühendused tavaliselt palju intiimsemat suhtlust rakendusega, millega ühenduse loote.

Tõepoolest, silumispordid võimaldavad teil üldiselt mitte ainult teada saada rakenduse enda konfiguratsiooni ja sisemise oleku kohta, vaid ka anda otse rakendusele käske, sealhulgas selliseid turvalisuse vähendamise käske, mis pole tavakasutajatele kättesaadavad. tavalise kasutajaliidese kaudu.

Näiteks e-posti server laseb tavaliselt saata sõnumi oma TCP-porti teie valitud kasutajanime jaoks, kuid see ei lase teil saata käske, mis serverit ennast ümber konfigureerivad, ega salajast teavet välja võtta. näiteks serveri statistika või teiste inimeste sõnumid.

Seevastu need on täpselt sellised "funktsioonid", mida silumispordid uued lubavad, et arendajad saaksid probleemide lahendamise ajal oma rakenduse käitumist kohandada ja jälgida, ilma et nad peaksid läbima tavalist kasutajaliidest.

(Näete, kuidas selline "külgkanal" rakenduse sisemusse oleks eriti kasulik, kui proovite siluda kasutajaliidest ennast, kuna kasutajaliidese kasutamine kasutajaliidese silumiseks segab peaaegu kindlasti just nende mõõtudega, mida proovisite teha.)

Silumispordid võimaldavad teil tavaliselt saada rakendusest endast teatud tüüpi sisevaadet, näiteks: piiluda mälupiirkondadesse, mida rakenduse kasutajad tavaliselt kunagi ei puutuks; andmete hetktõmmiste püüdmine, mis võivad sisaldada konfidentsiaalseid andmeid, näiteks paroole ja juurdepääsulubasid; ja heli- või videosalvestuste käivitamine ilma kasutajat hoiatamata…

…kõike ilma rakendusse või teenusesse sisse logimata.

Teisisõnu, silumispordid on arendamise ja testimise ajal kasutamiseks vajalik kurjus, kuid need ei peaks olema rakenduse regulaarsel kasutamisel aktiveeritud või ideaalis isegi aktiveeritavad, kuna need tekitavad ilmseid turvaauke.

Parooli pole vaja

Kui teil on juurdepääs TCP-pordile, mida silur kuulab, ja saate sellega TCP-ühenduse luua, on see kõik autentimine, mida vajate rakenduse ülevõtmiseks.

Ja sellepärast lubatakse silumispordid tavaliselt ainult hoolikalt kontrollitud asjaoludel, kui teate, et tegelikult soovite lubada arendajal otse rakenduse sees ringi liikuda, nautides seda, mis on tõhusalt reguleerimata ja potentsiaalselt ohtlik suurriiklik juurdepääs.

Tõepoolest, paljud tarkvaratooted on sihilikult üles ehitatud kahe erineva maitsega: silumisversioon, kus silumise saab soovi korral sisse lülitada, ja väljalaskeversioon, milles silumisfunktsioonid on täielikult välja jäetud, nii et neid ei saa üldse aktiveerida. õnnetus või kavandatud.

Google'i Android-telefonid sisaldavad silumisrežiimi, mille abil saate ühendada USB-kaabli ja süveneda sülearvutist telefoni (ehkki mitte täielike juurõigustega) nn ADB-i kaudu. Androidi silumissild. Silumise lubamiseks peate esmalt klõpsama Seaded > About Phone > Ehitamise number seitse korda (tõesti!) järjest. Alles seejärel ilmub silumise sisselülitamise võimalus isegi menüüdesse, kus saate selle aktiveerida Seaded > süsteem > edasijõudnud > Arendaja valikud > USB-silumine. Seejärel, kui ühendate vooluvõrku ja proovite oma sülearvutist ühendust luua, peate ühenduse lubama telefoni enda hoiatusakna kaudu. Kindlasti saate seda teha tahtlikult, kui teil on lukustamata telefonile füüsiline juurdepääs, kuid tõenäoliselt ei juhtu see kogemata.

Täiendava turvalisuse huvides on silumispordid sageli seadistatud nii, et need ei aktsepteeri teistest arvutitest sissetulevaid ühendusi (tehnilises mõttes kuulavad nad ainult "localhosti" liidest).

See tähendab, et valesti lubatud silumisliidest kuritarvitada sooviv ründaja vajab esmalt teie arvutis tugipunkti, näiteks mingit puhverserveri pahavara, mis ise aktsepteerib Interneti kaudu ühendusi ja seejärel edastab oma võrgupaketid „kohaliku hosti” võrguliidesele.

Vaatamata sellele, et CVE-2022-28762 puhul oli vaja mingisugust kohalikku juurdepääsu, andis Zoom sellele veale CVSS-i tõsiduse hindeks 7.3/10 (73%) ja kiireloomulisuse hinnanguks Suur.

Kohalikud TCP-võrguühendused on tavaliselt loodud töötama üle kasutajate ja protsesside piirid, nii et ründaja ei pea selle vea kuritarvitamiseks teiena (või administraatorina) sisse logima – iga protsess, isegi programm, mis töötab väga piiratud aja jooksul. külaliskontot, võib olla võimalik teie järele nuhkida.

Lisaks, kuna silumispordi kaudu välja antud tarkvarakäsud töötavad tavaliselt rakenduse tavalisest kasutajaliidesest sõltumatult, ei näe te tõenäoliselt ühtegi märki, et teie suumiseanss oleks sel viisil kaaperdatud.

Kui ründaja aktiveeriks rakenduse tavapärasemate Maci kaugjuhtimiskanalite, näiteks ekraani jagamise (VNC) kaudu, oleks teil vähemalt võimalus märgata ründajat, kes liigutab teie hiirekursorit, klõpsab menüünuppe või sisestab teksti...

…aga silumisliidese kaudu, mis on sisuliselt tahtlik tagauks, võite olla õndsalt teadmata (ja võib-olla isegi mitte tuvastada), et ründaja nuhkis teid väga isiklikult, kasutades teie veebikaamerat ja mikrofoni.

Mida teha?

Õnneks märkas Zoomi enda turvameeskond, mida me eeldame, et see oli ehitusaja viga (lubatud funktsioon, mis oleks tulnud välja lülitada) ja värskendas kohe lollakat Maci tarkvara.

Värskendage oma macOS Zoom Client'i versioon 5.12.0 või uuem ja silumisport jääb suletuks, kui kasutate suumi.

Macis minge põhimenüüsse zoom.us menüü ja valige Check for Updates... et näha, kas teil on uusim versioon.

---