Zoom สำหรับ Mac แก้จุดบกพร่อง "spy-on-me" ลับๆล่อๆ – อัปเดตทันที!

เป็นที่นิยมและแพร่หลาย (ซอฟต์แวร์ไม่ใช่ทั้งสองอย่างเสมอไป!) บริษัท การประชุมบนคลาวด์ Zoom เพิ่งประกาศข้อบกพร่องที่ไม่ควรเกิดขึ้นในซอฟต์แวร์เวอร์ชัน Mac

กระดานข่าวด้านความปลอดภัยได้รับการยกโทษให้เขียนในรูปแบบ staccato และศัพท์แสงของนักล่าแมลง แต่ความหมายค่อนข้างชัดเจน

บั๊กจะแสดงอยู่ CVE-2022-28762และมีรายละเอียดใน กระดานข่าวซูม ZB-22023:

เมื่อเปิดใช้งานบริบทการแสดงโหมดกล้องโดยเป็นส่วนหนึ่งของ Zoom App Layers API โดยการเรียกใช้แอป Zoom บางพอร์ต ไคลเอ็นต์ Zoom จะเปิดพอร์ตการแก้ไขข้อบกพร่องในเครื่อง

วันนี้คุณอยากไปที่ไหน

"พอร์ตการดีบัก" โดยทั่วไปหมายถึงการเชื่อมต่อเครือข่ายที่รับฟัง ซึ่งมักจะเป็นซ็อกเก็ต TCP ที่จัดการคำขอแก้ไขข้อบกพร่อง

ในลักษณะเดียวกับที่เซิร์ฟเวอร์อีเมลมักจะฟังบนพอร์ต TCP 25 รอให้ไคลเอนต์อีเมลระยะไกล "โทรเข้า" ผ่านเครือข่ายและขออนุญาตเพื่อส่งข้อความขาเข้า การดีบักพอร์ตจะฟังพอร์ตที่เลือกเอง (มักจะกำหนดค่าได้ แม้ว่าบางครั้งจะทำในลักษณะที่ไม่มีเอกสารเท่านั้น) สำหรับการเชื่อมต่อขาเข้าที่ต้องการออกคำสั่งแก้ไขจุดบกพร่อง

อย่างไรก็ตาม ต่างจากเซิร์ฟเวอร์อีเมลที่รับคำขอที่เกี่ยวข้องกับการส่งข้อความ (เช่น MAIL FROM และ RCPT TO) การดีบักการเชื่อมต่อมักจะให้การโต้ตอบที่ใกล้ชิดยิ่งขึ้นกับแอปที่คุณกำลังเชื่อมต่อ

อันที่จริง พอร์ตการดีบักโดยทั่วไปช่วยให้คุณไม่เพียงแต่ค้นหาเกี่ยวกับการกำหนดค่าและสถานะภายในของแอปเอง แต่ยังออกคำสั่งไปยังแอปโดยตรง รวมถึงการเรียงลำดับของคำสั่งการรักษาความปลอดภัยที่ผู้ใช้ทั่วไปไม่สามารถใช้งานได้ ผ่านอินเทอร์เฟซผู้ใช้ปกติ

ตัวอย่างเช่น เซิร์ฟเวอร์อีเมลโดยทั่วไปจะให้คุณส่งข้อความไปยังพอร์ต TCP สำหรับชื่อผู้ใช้ที่คุณเลือก แต่จะไม่อนุญาตให้คุณส่งคำสั่งที่กำหนดค่าเซิร์ฟเวอร์ใหม่เอง และจะไม่ยอมให้คุณดึงข้อมูลลับ เช่น สถิติเซิร์ฟเวอร์ หรือข้อความของผู้อื่น

ในทางตรงกันข้าม สิ่งเหล่านี้เป็น "คุณลักษณะ" ที่อนุญาตให้ดีบักพอร์ตได้ เพื่อให้นักพัฒนาสามารถปรับแต่งและตรวจสอบพฤติกรรมของแอปได้ในขณะที่พยายามแก้ไขปัญหาโดยไม่จำเป็นต้องผ่านอินเทอร์เฟซผู้ใช้ทั่วไป

(คุณสามารถดูได้ว่า "ช่องด้านข้าง" ประเภทนี้ในความกล้าของแอปพลิเคชันจะมีประโยชน์อย่างไรโดยเฉพาะเมื่อคุณพยายามแก้ไขจุดบกพร่องของอินเทอร์เฟซผู้ใช้เอง เนื่องจากการใช้ UI เพื่อดีบัก UI เกือบจะรบกวน ด้วยขนาดที่คุณพยายามจะทำ)

โดยเฉพาะอย่างยิ่ง พอร์ตดีบักมักจะช่วยให้คุณได้รับ "มุมมองภายใน" ของตัวแอปเอง เช่น: การแอบดูพื้นที่ของหน่วยความจำที่ปกติแล้วผู้ใช้แอปจะไม่เปิดเผย การจับสแน็ปช็อตข้อมูลที่อาจมีข้อมูลที่เป็นความลับ เช่น รหัสผ่านและโทเค็นการเข้าถึง และทริกเกอร์การจับภาพเสียงหรือวิดีโอโดยไม่แจ้งเตือนผู้ใช้...

…ทั้งหมดโดยไม่ต้องลงชื่อเข้าใช้แอพหรือบริการตั้งแต่แรก

กล่าวอีกนัยหนึ่ง พอร์ตการดีบักเป็นสิ่งชั่วร้ายที่จำเป็นสำหรับการใช้ในระหว่างการพัฒนาและการทดสอบ แต่ไม่ควรเปิดใช้งานหรือควรเปิดใช้งานในระหว่างการใช้งานแอปเป็นประจำ เนื่องจากมีช่องโหว่ด้านความปลอดภัยที่ชัดเจน

ไม่ต้องใช้รหัสผ่าน

พูดง่ายๆ ก็คือ หากคุณมีสิทธิ์เข้าถึงพอร์ต TCP ที่โปรแกรมดีบั๊กกำลังรับฟังอยู่ และคุณสามารถสร้างการเชื่อมต่อ TCP กับพอร์ตนั้นได้ นั่นคือการตรวจสอบสิทธิ์ทั้งหมดที่คุณต้องใช้ผ่านแอป

และนั่นคือเหตุผลที่พอร์ตดีบักมักจะเปิดใช้งานภายใต้สถานการณ์ที่มีการควบคุมอย่างรอบคอบเท่านั้น เมื่อคุณรู้ว่าคุณต้องการอนุญาตให้นักพัฒนาสามารถเข้าไปสำรวจภายในแอปพลิเคชันได้จริง เพลิดเพลินกับสิ่งที่ไม่ได้รับการควบคุมอย่างมีประสิทธิภาพและอาจเป็นอันตรายในการเข้าถึงพลังพิเศษ

แท้จริงแล้ว ผลิตภัณฑ์ซอฟต์แวร์จำนวนมากถูกสร้างขึ้นโดยเจตนาในสองรสชาติที่แตกต่างกัน: บิลด์การดีบัก ซึ่งสามารถเปิดการดีบักได้หากต้องการ และบิลด์รุ่นซึ่งคุณสมบัติการดีบักถูกละเว้นทั้งหมด ดังนั้นจึงไม่สามารถเปิดใช้งานได้เลย ไม่ว่าจะโดย อุบัติเหตุหรือโดยการออกแบบ

โทรศัพท์ Android ของ Google มีโหมดดีบัก ซึ่งคุณสามารถเสียบสาย USB และเจาะลึกโทรศัพท์ (แม้ว่าจะไม่ใช่ด้วยพลังรูทเต็มรูปแบบ) จากแล็ปท็อปของคุณผ่านสิ่งที่เรียกว่า ADB ย่อมาจาก สะพานดีบั๊กของ Android หากต้องการเปิดใช้งานการดีบักเลย คุณต้องคลิกที่ .ก่อน การตั้งค่า > เกี่ยวกับโทรศัพท์ > สร้างจำนวน เจ็ดครั้ง (จริงๆ!) ติดต่อกัน จากนั้นตัวเลือกในการเปิดการดีบักจะปรากฏในเมนูซึ่งคุณสามารถเปิดใช้งานได้ที่ การตั้งค่า > System > ระดับสูง > ตัวเลือกสำหรับนักพัฒนา > การดีบัก USB. จากนั้น เมื่อคุณเสียบปลั๊กและพยายามเชื่อมต่อจากแล็ปท็อป คุณจะต้องอนุญาตการเชื่อมต่อผ่านป๊อปอัปเตือนบนโทรศัพท์เอง คุณสามารถทำสิ่งนี้ได้โดยตั้งใจ หากคุณมีการเข้าถึงทางกายภาพกับโทรศัพท์ที่ปลดล็อคแล้ว แต่ไม่น่าจะเกิดขึ้นโดยไม่ได้ตั้งใจ

สำหรับการรักษาความปลอดภัยเพิ่มเติม พอร์ตดีบักมักจะได้รับการตั้งค่าเพื่อไม่ให้ยอมรับการเชื่อมต่อที่มาจากคอมพิวเตอร์เครื่องอื่น

ซึ่งหมายความว่าผู้โจมตีที่ต้องการใช้อินเทอร์เฟซแก้ไขข้อบกพร่องที่เปิดใช้งานอย่างไม่ถูกต้องจะต้องตั้งหลักบนคอมพิวเตอร์ของคุณก่อน เช่น มัลแวร์พร็อกซีบางประเภทที่ยอมรับการเชื่อมต่อผ่านอินเทอร์เน็ต จากนั้นจึงส่งต่อแพ็กเก็ตเครือข่ายไปยังอินเทอร์เฟซเครือข่าย "localhost"

แม้จะมีความจำเป็นสำหรับการเข้าถึงในพื้นที่ในกรณีของ CVE-2022-28762 อย่างไรก็ตาม Zoom ให้จุดบกพร่องนี้ "คะแนนความรุนแรง" ของ CVSS 7.3/10 (73%) และระดับความเร่งด่วนของ จุดสูง.

โดยทั่วไปแล้วการเชื่อมต่อเครือข่าย TCP ในพื้นที่ได้รับการออกแบบให้ทำงานข้ามขอบเขตของผู้ใช้และกระบวนการ ดังนั้นผู้โจมตีจึงไม่จำเป็นต้องเข้าสู่ระบบในฐานะคุณ (หรือในฐานะผู้ดูแลระบบ) เพื่อใช้จุดบกพร่องนี้ในทางที่ผิด – กระบวนการใดๆ แม้แต่โปรแกรมที่ทำงานภายใต้ข้อจำกัด บัญชีแขก อาจจะสามารถสอดแนมคุณได้ตามใจชอบ

นอกจากนี้ เนื่องจากคำสั่งของซอฟต์แวร์ที่ออกผ่านพอร์ตการดีบักมักจะทำงานโดยไม่ขึ้นกับอินเทอร์เฟซผู้ใช้ปกติของแอป คุณจึงอาจไม่เห็นสัญญาณแจกของรางวัลใดๆ ว่าเซสชัน Zoom ของคุณถูกแย่งชิงด้วยวิธีนี้

หากผู้โจมตีเปิดใช้งานแอปผ่านช่องทางควบคุมระยะไกลของ Mac แบบเดิม เช่น การแชร์หน้าจอ (VNC) อย่างน้อย คุณก็มีโอกาสตรวจพบผู้โจมตีย้ายตัวชี้เมาส์ของคุณไปรอบๆ คลิกปุ่มเมนู หรือพิมพ์ข้อความ...

…แต่ผ่านอินเทอร์เฟซการแก้ไขข้อบกพร่อง ซึ่งโดยพื้นฐานแล้วเป็นประตูหลังโดยเจตนา คุณอาจไม่รู้ตัว (และบางทีอาจตรวจจับไม่ได้ด้วยซ้ำ) อย่างมีความสุขว่าผู้โจมตีกำลังสอดแนมคุณเป็นการส่วนตัว โดยใช้เว็บแคมและไมโครโฟนของคุณ

จะทำอย่างไร?

โชคดีที่ทีมรักษาความปลอดภัยของ Zoom ค้นพบสิ่งที่เราคิดว่าเป็นข้อผิดพลาดในการสร้างเวลา (คุณลักษณะที่เปิดใช้งานซึ่งควรถูกระงับ) และอัปเดตซอฟต์แวร์ Mac แบบบั๊กกี้ทันที

อัพเดทเป็น macOS Zoom Client เป็น เวอร์ชัน 5.12.0 หรือใหม่กว่า และพอร์ตการดีบักจะปิดเมื่อคุณใช้การซูม

ถ้าใช้ Mac ให้ไปที่ main zoom.us เมนูและเลือก Check for Updates... เพื่อดูว่าคุณมีเวอร์ชันล่าสุดหรือไม่

---