Zoom for Mac باگ "spy-on-me" یواشکی را اصلاح می کند - اکنون به روز رسانی کنید!

محبوب و فراگیر (نرم‌افزار همیشه هر دوی اینها نیست!) شرکت ملاقات ابری زوم اخیراً یک باگ در نسخه مک نرم‌افزار خود را اعلام کرد که قرار نبود اتفاق بیفتد.

بولتن امنیتی، قابل بخشش، به سبک معمولی استاکاتو و آغشته به اصطلاحات تخصصی شکارچیان اشکال نوشته شده است، اما معنی آن کاملاً واضح است.

اشکال مشخص شده است CVE-2022-28762، و به تفصیل در Zoom Bulletin ZB-22023:

وقتی زمینه رندر حالت دوربین به عنوان بخشی از Zoom App Layers API با اجرای برنامه‌های Zoom خاص فعال می‌شود، یک پورت اشکال زدایی محلی توسط مشتری Zoom باز می‌شود.

امروز کجا می خواهید برید؟

یک "پورت اشکال زدایی" معمولاً به یک اتصال شبکه شنود، معمولاً یک سوکت TCP، اشاره دارد که درخواست های اشکال زدایی را مدیریت می کند.

همانطور که یک سرور ایمیل معمولاً به درگاه TCP 25 گوش می دهد و منتظر می ماند تا کلاینت های ایمیل راه دور از طریق شبکه تماس بگیرند و اجازه ارسال پیام های دریافتی را بخواهند، پورت های اشکال زدایی در پورتی که خودشان انتخاب می کنند گوش می دهند (اغلب قابل تنظیم، اگرچه گاهی اوقات فقط به صورت غیرمستند) برای اتصالات ورودی که می خواهند دستورات اشکال زدایی را صادر کنند.

با این حال، برخلاف سرور ایمیل، که درخواست‌های مربوط به تحویل پیام را می‌پذیرد (مثلاً MAIL FROM و RCPT TO، اتصالات اشکال زدایی معمولاً نوع تعامل بسیار صمیمی تری را با برنامه ای که به آن متصل می شوید ارائه می دهد.

در واقع، پورت های اشکال زدایی به طور کلی به شما این امکان را می دهد که نه تنها از پیکربندی و وضعیت داخلی خود برنامه مطلع شوید، بلکه دستوراتی را نیز به طور مستقیم به برنامه صادر کنید، از جمله دستورات کاهش امنیت که برای کاربران عادی موجود نیست. از طریق رابط کاربری معمولی

به عنوان مثال، یک سرور ایمیل معمولاً به شما اجازه می‌دهد برای نام کاربری دلخواه خود پیامی به پورت TCP ارسال کنید، اما به شما اجازه نمی‌دهد دستوراتی را ارسال کنید که خود سرور را مجدداً پیکربندی کند و به شما اجازه نمی‌دهد اطلاعات مخفی را استخراج کنید. مانند آمار سرور یا پیام های افراد دیگر.

در مقابل، آن‌ها دقیقاً همان «ویژگی‌هایی» هستند که معمولاً پورت‌های اشکال زدایی اجازه می‌دهند، به طوری که توسعه‌دهندگان می‌توانند هنگام تلاش برای رفع مشکلات، رفتار برنامه خود را تغییر داده و نظارت کنند، بدون اینکه نیازی به مرور رابط کاربری معمولی داشته باشند.

(شما می توانید ببینید که چگونه این نوع "کانال جانبی" در داخل یک برنامه کاربردی به خصوص زمانی که می خواهید خود رابط کاربری را اشکال زدایی کنید مفید است، با توجه به اینکه عمل استفاده از UI برای اشکال زدایی UI تقریباً به طور قطع تداخل خواهد داشت. با همان اندازه گیری هایی که می خواستید انجام دهید.)

قابل ذکر است، پورت‌های اشکال زدایی معمولاً به شما امکان می‌دهند نوعی «نمای داخلی» از خود برنامه دریافت کنید، مانند: نگاه کردن به مناطقی از حافظه که معمولاً هرگز در معرض دید کاربران برنامه قرار نمی‌گیرند. گرفتن عکس های فوری داده ای که می تواند حاوی داده های محرمانه مانند رمزهای عبور و نشانه های دسترسی باشد. و شروع ضبط صدا یا تصویر بدون هشدار به کاربر…

... همه بدون ورود به برنامه یا سرویس در وهله اول.

به عبارت دیگر، پورت‌های اشکال زدایی یک شر ضروری برای استفاده در حین توسعه و آزمایش هستند، اما به دلیل حفره‌های امنیتی آشکاری که معرفی می‌کنند، قرار نیست در هنگام استفاده منظم از برنامه فعال شوند یا حتی در حالت ایده‌آل حتی قابل فعال شدن نباشند.

بدون نیاز به رمز عبور

به زبان ساده، اگر به پورت TCP که دیباگر به آن گوش می دهد دسترسی دارید و می توانید یک اتصال TCP به آن ایجاد کنید، این تمام احراز هویتی است که برای کنترل برنامه نیاز دارید.

و به همین دلیل است که درگاه‌های اشکال‌زدایی معمولاً فقط در شرایطی که به دقت کنترل می‌شوند فعال می‌شوند، زمانی که می‌دانید در واقع می‌خواهید به یک توسعه‌دهنده اجازه دهید تا بتواند درست در داخل برنامه پرسه بزند و از دسترسی به قدرت فوق‌العاده غیرقانونی و بالقوه خطرناک لذت ببرد.

در واقع، بسیاری از محصولات نرم‌افزاری عمداً در دو نوع مختلف ساخته می‌شوند: یک ساخت اشکال‌زدایی، که در صورت تمایل می‌توان اشکال زدایی را فعال کرد، و یک نسخه نسخه‌ای که در آن ویژگی‌های اشکال‌زدایی به‌کلی حذف شده‌اند، بنابراین اصلاً نمی‌توان آن‌ها را فعال کرد. تصادفی یا با طراحی

تلفن‌های اندرویدی گوگل دارای حالت اشکال‌زدایی هستند که به موجب آن می‌توانید یک کابل USB را وصل کنید و از طریق چیزی که به عنوان ADB شناخته می‌شود، از لپ‌تاپ خود (البته نه با قدرت کامل روت) گوشی را وصل کنید. پل اشکال زدایی اندروید. برای فعال کردن اشکال زدایی، ابتدا باید روی آن کلیک کنید تنظیمات > درباره تلفن > شماره ساخت هفت بار (واقعاً!) پشت سر هم. تنها پس از آن گزینه فعال کردن اشکال زدایی حتی در منوها ظاهر می شود، جایی که می توانید آن را فعال کنید تنظیمات > سیستم > فناوری > گزینه های توسعه دهنده > اشکال زدایی USB. سپس، هنگامی که وصل می‌شوید و سعی می‌کنید از لپ‌تاپ خود وصل شوید، باید از طریق یک پنجره هشدار در خود تلفن، اتصال را مجاز کنید. مطمئناً می توانید این کار را از روی عمد انجام دهید، اگر دسترسی فیزیکی به یک تلفن قفل نشده داشته باشید، اما بعید است که به اشتباه اتفاق بیفتد.

برای امنیت بیشتر، پورت‌های اشکال‌زدایی اغلب تنظیم می‌شوند تا اتصالاتی را که از رایانه‌های دیگر وارد می‌شوند را نپذیرند (از نظر فنی، آنها فقط از رابط «localhost» گوش می‌دهند).

این بدان معناست که مهاجمی که به دنبال سوء استفاده از یک رابط اشکال زدایی نادرست فعال شده است، ابتدا به یک جای پایی روی رایانه شما نیاز دارد، مانند نوعی بدافزار پروکسی که خودش اتصالات را از طریق اینترنت می پذیرد، و سپس بسته های شبکه خود را به رابط شبکه "localhost" منتقل می کند.

با وجود نیاز به نوعی دسترسی محلی در مورد CVE-2022-28762، زوم به این باگ یک "نمره شدت" CVSS 7.3/10 (73%) و یک رتبه فوریت داد. زیاد.

اتصالات شبکه TCP محلی معمولاً برای کارکردن در مرزهای کاربر و فرآیند طراحی شده‌اند، بنابراین یک مهاجم برای سوء استفاده از این باگ نیازی به ورود به سیستم شما (یا به عنوان مدیر) ندارد - هر فرآیندی، حتی برنامه‌ای که تحت یک محدودیت بسیار محدود اجرا می‌شود. حساب مهمان، ممکن است به میل خود بتواند از شما جاسوسی کند.

علاوه بر این، از آنجا که دستورات نرم‌افزاری که از طریق یک پورت اشکال‌زدایی صادر می‌شوند، معمولاً مستقل از رابط کاربری معمولی یک برنامه عمل می‌کنند، احتمالاً هیچ نشانه‌ای مبنی بر اینکه جلسه Zoom شما به این روش ربوده شده است، نخواهید دید.

اگر مهاجمی برنامه را از طریق کانال‌های کنترل از راه دور مک معمولی‌تر مانند اشتراک‌گذاری صفحه (VNC) فعال می‌کرد، حداقل این شانس را داشتید که مهاجم را که نشانگر ماوس خود را به اطراف حرکت می‌دهد، کلیک روی دکمه‌های منو یا تایپ متن مشاهده کنید.

... اما از طریق یک رابط اشکال زدایی، که اساساً یک درب پشتی عمدی است، ممکن است با خوشحالی از اینکه یک مهاجم با استفاده از وب‌کم و میکروفون شما، شخصاً شما را تحت تعقیب قرار داده است (و شاید حتی قادر به تشخیص آن نباشید) باشید.

چه کاری انجام دهید؟

خوشبختانه، تیم امنیتی خود زوم متوجه اشتباهی در زمان ساخت شدند (ویژگی فعال باقی مانده و باید سرکوب می شد) و به سرعت نرم افزار باگ مک را به روز کردند.

به کلاینت macOS Zoom خود را به روز کنید نسخه 5.12.0 یا بالاتر و هنگامی که از Zoom استفاده می کنید، درگاه اشکال زدایی بسته می ماند.

در مک، به قسمت اصلی بروید zoom.us را انتخاب کنید و انتخاب کنید Check for Updates... تا ببینید آیا آخرین نسخه را دارید یا خیر.

---