Zoom for Mac korjaa ovela "spy-on-me" -virheen – päivitä nyt!

Suosittu ja kaikkialla esiintyvä (ohjelmistot eivät aina ole molempia asioita!) pilvikokousyritys Zoom ilmoitti äskettäin ohjelmistonsa Mac-versiossa oho-jonka ei pitänyt tapahtua.

Tietoturvatiedote on anteeksiantavasti kirjoitettu vianmetsästäjille tyypillisesti staccato- ja ammattislangista tulvivaan tyyliin, mutta merkitys on melko selvä.

Virhe on merkitty CVE-2022-28762, ja se on yksityiskohtaisesti kohdassa Zoom Bulletin ZB-22023:

Kun kameratilan renderöintikonteksti otetaan käyttöön osana Zoom App Layers -sovellusliittymää suorittamalla tiettyjä Zoom-sovelluksia, Zoom-asiakasohjelma avaa paikallisen virheenkorjausportin.

Minne haluat mennä tänään?

"Virheenkorjausportti" viittaa tyypillisesti kuuntelevaan verkkoyhteyteen, yleensä TCP-liitäntään, joka käsittelee virheenkorjauspyyntöjä.

Samalla tavalla kuin sähköpostipalvelin yleensä kuuntelee TCP-porttia 25 odottaen, että etäsähköpostiohjelmat "soittavat" verkon kautta ja pyytävät lupaa toimittaa saapuvat viestit, virheenkorjausportit kuuntelevat valitsemaansa porttia (usein määritettävissä, vaikka joskus vain dokumentoimattomalla tavalla) saapuville yhteyksille, jotka haluavat antaa virheenkorjauskomentoja.

Toisin kuin sähköpostipalvelin, joka hyväksyy viestien toimittamiseen liittyvät pyynnöt (esim MAIL FROM ja RCPT TO), virheenkorjausyhteydet tarjoavat yleensä paljon intiimimmän vuorovaikutuksen sovelluksen kanssa, johon muodostat yhteyden.

Itse asiassa virheenkorjausporttien avulla voit yleensä paitsi selvittää itse sovelluksen kokoonpanon ja sisäisen tilan, myös antaa komentoja suoraan sovellukselle, mukaan lukien sellaiset turvallisuutta vähentävät komennot, jotka eivät ole tavallisten käyttäjien käytettävissä. tavallisen käyttöliittymän kautta.

Esimerkiksi sähköpostipalvelin antaa sinun yleensä lähettää viestin TCP-porttiinsa valitsemaasi käyttäjätunnusta varten, mutta se ei anna sinun lähettää komentoja, jotka määrittävät itse palvelimen uudelleen, eikä se anna sinun poimia salaisia ​​tietoja. kuten palvelintilastot tai muiden ihmisten viestit.

Sitä vastoin nämä ovat juuri sellaisia ​​"ominaisuuksia", jotka virheenkorjausportit aina sallivat, jotta kehittäjät voivat säätää ja seurata sovelluksensa toimintaa yrittäessään korjata ongelmia ilman, että heidän tarvitsee käydä läpi tavallista käyttöliittymää.

(Voit nähdä, kuinka tällainen "sivukanava" sovelluksen sisälle olisi erityisen kätevä, kun yrität korjata itse käyttöliittymää, koska käyttöliittymän käyttäminen käyttöliittymän virheenkorjaukseen häiritsisi melkein varmasti juuri niillä mitoilla, joita yritit tehdä.)

Varsinkin virheenkorjausporttien avulla saat tavallisesti jonkinlaisen "sisäisen näkymän" itse sovelluksesta, kuten: kurkistaa muistialueille, joita sovelluksen käyttäjät eivät yleensä koskaan paljastaisi; nappaamalla datan tilannekuvia, jotka voivat sisältää luottamuksellisia tietoja, kuten salasanoja ja käyttötunnuksia; ja käynnistää ääni- tai videokaappauksia varoittamatta käyttäjää…

…kaikki ilman kirjautumista sovellukseen tai palveluun.

Toisin sanoen virheenkorjausportit ovat välttämätön paha käytettäväksi kehityksen ja testauksen aikana, mutta niiden ei ole tarkoitus aktivoitua tai mieluiten edes olla aktivoitavissa sovelluksen säännöllisen käytön aikana niiden aiheuttamien ilmeisten tietoturva-aukkojen vuoksi.

Salasanaa ei tarvita

Löyhästi sanottuna, jos sinulla on pääsy TCP-porttiin, jota debuggeri kuuntelee, ja voit luoda siihen TCP-yhteyden, siinä on kaikki todennus, jota sinun tarvitsee ottaaksesi sovelluksen haltuunsa.

Ja siksi virheenkorjausportit ovat tyypillisesti käytössä vain tarkasti valvotuissa olosuhteissa, kun tiedät, että todella haluat antaa kehittäjälle mahdollisuuden vaeltaa sovelluksen sisällä nauttien käytännössä sääntelemättömästä ja mahdollisesti vaarallisesta suurvallan käytöstä.

Itse asiassa monet ohjelmistotuotteet on tarkoituksella rakennettu kahteen eri makuun: virheenkorjausversio, jossa virheenkorjaus voidaan ottaa käyttöön haluttaessa, ja julkaisuversio, jossa virheenkorjausominaisuudet jätetään kokonaan pois, joten niitä ei voi aktivoida ollenkaan. onnettomuudesta tai suunnittelusta.

Googlen Android-puhelimissa on virheenkorjaustila, jonka avulla voit kytkeä USB-kaapelin ja kaivaa puhelimeen (tosin ei täydellä pääkäyttäjällä) kannettavasta tietokoneesta niin kutsutun ADB:n kautta. Android Debug Bridge. Jos haluat ottaa virheenkorjauksen käyttöön ollenkaan, sinun on ensin napsautettava Asetukset > Tietoja Puhelin > Rakenna numero seitsemän kertaa (todella!) peräkkäin. Vasta sitten vaihtoehto ottaa virheenkorjaus käyttöön näkyy jopa valikoissa, joissa voit aktivoida sen Asetukset > järjestelmä > Lisää > Kehittäjäasetukset > USB-virheenkorjaus. Sitten, kun kytket verkkoon ja yrität muodostaa yhteyden kannettavasta tietokoneesta, sinun on valtuutettava yhteys puhelimen varoitusponnahdusikkunan kautta. Voit varmasti tehdä tämän tarkoituksella, jos sinulla on fyysinen pääsy lukitsemattomaan puhelimeen, mutta se ei todennäköisesti tapahdu vahingossa.

Turvallisuuden lisäämiseksi virheenkorjausportit on usein asetettu niin, että ne eivät hyväksy muista tietokoneista tulevia yhteyksiä (teknisesti ne kuuntelevat vain "localhost"-liittymää).

Tämä tarkoittaa, että hyökkääjä, joka yrittää väärinkäyttää väärin käyttöön otettua virheenkorjausliittymää, tarvitsee ensin jalansijaa tietokoneellesi, kuten jonkinlaisen välityspalvelinhaittaohjelman, joka itse hyväksyy yhteydet Internetin kautta ja välittää sitten verkkopakettinsa "localhost"-verkkoliittymään.

Huolimatta jonkinlaisen paikallisen pääsyn tarpeesta CVE-2022-28762:n tapauksessa, Zoom antoi tälle virheelle CVSS:n vakavuuspisteet 7.3/10 (73 %) ja kiireellisyyden luokituksen Korkea.

Paikalliset TCP-verkkoyhteydet on yleensä suunniteltu toimimaan yli käyttäjien ja prosessien rajat, joten hyökkääjän ei tarvitse olla kirjautuneena sisään sinuna (tai järjestelmänvalvojana) käyttääkseen tätä virhettä väärin – mikä tahansa prosessi, jopa ohjelma, joka toimii hyvin rajoitetusti. vierastili, saattaa pystyä vakoilemaan sinua halutessasi.

Lisäksi, koska virheenkorjausportin kautta annetut ohjelmistokomennot toimivat tyypillisesti sovelluksen tavallisesta käyttöliittymästä riippumatta, et todennäköisesti näe mitään merkkejä siitä, että Zoom-istuntosi olisi kaapattu tällä tavalla.

Jos hyökkääjä aktivoi sovelluksen tavanomaisempien Macin kauko-ohjainkanavien, kuten näytön jakamisen (VNC) kautta, sinulla olisi ainakin mahdollisuus havaita hyökkääjä liikuttelemassa hiiren osoitinta, napsauttamalla valikkopainikkeita tai kirjoittamassa tekstiä…

…mutta virheenkorjausliittymän kautta, joka on pohjimmiltaan tarkoituksellinen takaovi, saatat olla autuaan tietämätön (etkä ehkä edes pysty havaitsemaan), että hyökkääjä nuuskisi sinua henkilökohtaisesti käyttämällä verkkokameraasi ja mikrofoniasi.

Mitä tehdä?

Onneksi Zoomin oma tietoturvatiimi huomasi, että olettamamme oli rakennusaikavirhe (ominaisuus jätettiin käyttöön, joka olisi pitänyt estää), ja päivitti bugisen Mac-ohjelmiston välittömästi.

Päivitä macOS Zoom Client -sovellukseen versio 5.12.0 tai uudempi ja virheenkorjausportti pysyy suljettuna, kun käytät zoomia.

Siirry Macissa päävalikkoon zoom.us valikosta ja valitse Check for Updates... nähdäksesi, onko sinulla uusin versio.

---