Zoom cho Mac các bản vá lỗi lén lút “do thám của tôi” - cập nhật ngay bây giờ!

Công ty tổ chức họp đám mây Zoom gần đây đã thông báo về một lỗi rất tiếc là không thể xảy ra trong phiên bản Mac của phần mềm này.

Bản tin bảo mật, có thể được tha thứ, được viết theo phong cách đặc trưng và ngâm trong biệt ngữ của những người săn lỗi, nhưng ý nghĩa khá rõ ràng.

Lỗi được biểu thị CVE-2022-28762và được trình bày chi tiết trong Bản tin thu phóng ZB-22023:

Khi chế độ máy ảnh hiển thị ngữ cảnh được bật như một phần của API lớp ứng dụng thu phóng bằng cách chạy các Ứng dụng thu phóng nhất định, một cổng gỡ lỗi cục bộ sẽ được mở bởi ứng dụng khách Zoom.

Bạn muốn đi đâu hôm nay?

“Cổng gỡ lỗi” thường đề cập đến một kết nối mạng lắng nghe, thường là một ổ cắm TCP, xử lý các yêu cầu gỡ lỗi.

Giống như cách mà một máy chủ email thường lắng nghe trên cổng TCP 25, chờ các ứng dụng khách email từ xa “gọi vào” qua mạng và yêu cầu quyền gửi thư đến, các cổng gỡ lỗi sẽ lắng nghe trên một cổng do chúng lựa chọn (thường có thể định cấu hình, mặc dù đôi khi chỉ theo cách không có tài liệu) cho các kết nối đến muốn đưa ra lệnh gỡ lỗi.

Tuy nhiên, không giống như máy chủ email, máy chủ này chấp nhận các yêu cầu liên quan đến việc gửi thư (ví dụ: MAIL FROM và RCPT TO), gỡ lỗi kết nối thường cung cấp một loại tương tác mật thiết hơn nhiều với ứng dụng bạn đang kết nối.

Thật vậy, các cổng gỡ lỗi thường cho phép bạn không chỉ tìm hiểu về cấu hình và trạng thái bên trong của chính ứng dụng mà còn đưa ra các lệnh trực tiếp cho ứng dụng, bao gồm cả loại lệnh gỡ lỗi bảo mật không có sẵn cho người dùng thông thường. thông qua giao diện người dùng thông thường.

Ví dụ, một máy chủ email thường sẽ cho phép bạn gửi thư đến cổng TCP của nó cho tên người dùng mà bạn chọn, nhưng nó sẽ không cho phép bạn gửi các lệnh cấu hình lại chính máy chủ và nó sẽ không cho phép bạn trích xuất thông tin bí mật chẳng hạn như thống kê máy chủ hoặc tin nhắn của người khác.

Ngược lại, đó chính xác là loại “tính năng” mà các cổng gỡ lỗi không thường cho phép, để các nhà phát triển có thể điều chỉnh và giám sát hành vi của ứng dụng của họ trong khi họ đang cố gắng khắc phục sự cố mà không cần phải thông qua giao diện người dùng thông thường.

(Bạn có thể thấy loại “kênh bên” này đi vào ruột của một ứng dụng sẽ đặc biệt hữu ích như thế nào khi bạn đang cố gắng gỡ lỗi chính giao diện người dùng, vì hành động sử dụng giao diện người dùng để gỡ lỗi giao diện người dùng gần như chắc chắn sẽ gây trở ngại với chính các phép đo mà bạn đang cố gắng thực hiện.)

Đáng chú ý, các cổng gỡ lỗi thường cho phép bạn có được một loại “chế độ xem nội bộ” của chính ứng dụng, chẳng hạn như: nhìn trộm vào các vùng bộ nhớ mà người dùng ứng dụng thường không bao giờ thấy; lấy ảnh chụp nhanh dữ liệu có thể chứa dữ liệu bí mật như mật khẩu và mã thông báo truy cập; và kích hoạt chụp âm thanh hoặc video mà không cần cảnh báo cho người dùng…

… Tất cả mà không cần đăng nhập vào ứng dụng hoặc dịch vụ ngay từ đầu.

Nói cách khác, các cổng gỡ lỗi là một thứ cần thiết để sử dụng trong quá trình phát triển và thử nghiệm, nhưng chúng không được kích hoạt hoặc lý tưởng là thậm chí có thể kích hoạt trong quá trình sử dụng ứng dụng thường xuyên, vì các lỗ hổng bảo mật rõ ràng mà chúng đưa ra.

Không cần mật khẩu

Nói một cách dễ hiểu, nếu bạn có quyền truy cập vào cổng TCP mà trình gỡ lỗi đang lắng nghe và bạn có thể tạo kết nối TCP với nó, đó là tất cả xác thực bạn cần để tiếp quản ứng dụng.

Và đó là lý do tại sao các cổng gỡ lỗi thường chỉ được bật trong những trường hợp được kiểm soát cẩn thận, khi bạn biết rằng bạn thực sự muốn cho phép nhà phát triển có thể lang thang ngay bên trong ứng dụng, tận hưởng những gì được truy cập siêu năng lực không được kiểm soát một cách hiệu quả và tiềm ẩn nguy hiểm.

Thật vậy, nhiều sản phẩm phần mềm được cố tình xây dựng theo hai hương vị khác nhau: một phiên bản gỡ lỗi, nơi gỡ lỗi có thể được bật nếu muốn và một phiên bản phát hành trong đó các tính năng gỡ lỗi bị bỏ qua hoàn toàn để chúng không thể được kích hoạt, cho dù bằng cách nào tai nạn hoặc do thiết kế.

Điện thoại Android của Google bao gồm chế độ gỡ lỗi, theo đó bạn có thể cắm cáp USB và cắm vào điện thoại (mặc dù không có quyền root đầy đủ) từ máy tính xách tay của bạn thông qua cái được gọi là ADB, viết tắt của Cầu gỡ lỗi Android. Để bật gỡ lỗi, trước tiên bạn cần nhấp vào Cài đặt > Về điện thoại > Số xây dựng bảy lần (thực sự!) liên tiếp. Chỉ sau đó, tùy chọn bật gỡ lỗi mới xuất hiện trong menu, nơi bạn có thể kích hoạt nó tại Cài đặt > WELFARE > Nâng cao > Tùy chọn nhà phát triển > tìm kiếm và phát hiện lỗi thông qua USB. Sau đó, khi bạn cắm và cố gắng kết nối từ máy tính xách tay của mình, bạn phải cho phép kết nối thông qua một cửa sổ bật lên cảnh báo trên chính điện thoại. Bạn chắc chắn có thể cố tình làm điều này, nếu bạn có quyền truy cập vật lý vào điện thoại đã mở khóa, nhưng nó không có khả năng xảy ra do nhầm lẫn.

Để tăng cường bảo mật, các cổng gỡ lỗi thường được thiết lập để chúng không chấp nhận các kết nối đến từ các máy tính khác (về mặt kỹ thuật, chúng chỉ lắng nghe trên giao diện “localhost”).

Điều này có nghĩa là kẻ tấn công đang tìm cách sử dụng sai giao diện gỡ lỗi được kích hoạt không chính xác sẽ cần một chỗ đứng trên máy tính của bạn trước tiên, chẳng hạn như một số loại phần mềm độc hại proxy tự chấp nhận các kết nối qua internet, sau đó chuyển tiếp các gói mạng của nó tới giao diện mạng “localhost”.

Mặc dù cần một số loại truy cập cục bộ trong trường hợp CVE-2022-28762, tuy nhiên, Zoom đã cho lỗi này "điểm mức độ nghiêm trọng" của CVSS là 7.3 / 10 (73%) và xếp hạng mức độ khẩn cấp là Cao.

Các kết nối mạng TCP cục bộ thường được thiết kế để hoạt động trên các ranh giới người dùng và quá trình, vì vậy kẻ tấn công sẽ không cần đăng nhập với tư cách là bạn (hoặc với tư cách quản trị viên) để lạm dụng lỗi này - bất kỳ quá trình nào, ngay cả một chương trình đang chạy trong một giới hạn rất tài khoản khách, có thể theo dõi bạn theo ý muốn.

Hơn nữa, vì các lệnh phần mềm được phát hành qua cổng gỡ lỗi thường hoạt động độc lập với giao diện người dùng thông thường của ứng dụng, bạn có thể sẽ không thấy bất kỳ dấu hiệu tặng quà nào cho thấy phiên Zoom của bạn đã bị tấn công theo cách này.

Nếu kẻ tấn công đang kích hoạt ứng dụng thông qua các kênh điều khiển từ xa thông thường hơn của Mac như Chia sẻ màn hình (VNC), ít nhất bạn sẽ có cơ hội phát hiện kẻ tấn công đang di chuyển con trỏ chuột của bạn, nhấp vào các nút menu hoặc nhập văn bản…

… Nhưng thông qua giao diện gỡ lỗi, về cơ bản là một cửa sau cố ý, bạn có thể vô cùng vui mừng không biết (và thậm chí có thể không phát hiện ra) rằng kẻ tấn công đang rình mò bạn rất cá nhân, bằng cách sử dụng webcam và micrô của bạn.

Phải làm gì?

May mắn thay, nhóm bảo mật của riêng Zoom đã phát hiện ra những gì chúng tôi cho là lỗi thời gian xây dựng (một tính năng được bật mà đáng lẽ đã bị loại bỏ) và cập nhật kịp thời phần mềm Mac bị lỗi.

Cập nhật lên Ứng dụng khách macOS Zoom của bạn để phiên bản 5.12.0 trở lên và cổng gỡ lỗi sẽ luôn đóng khi bạn sử dụng Zoom.

Trên máy Mac, hãy chuyển đến phần chính zoom.us menu và chọn Check for Updates... để xem liệu bạn đã có phiên bản mới nhất chưa.

---