Zoom for Mac 修补了偷偷摸摸的“spy-on-me”错误 - 立即更新！

流行且无处不在（软件并不总是这两种东西！）云会议公司 Zoom 最近宣布其软件的 Mac 版本中没有出现错误。

可以原谅的是，安全公告是用典型的断断续续和术语浸透的漏洞猎人风格编写的，但含义相当清楚。

该错误表示 CVE-2022-28762, 并在 变焦公告 ZB-22023:

当通过运行某些 Zoom 应用程序启用相机模式渲染上下文作为 Zoom 应用程序层 API 的一部分时，Zoom 客户端会打开一个本地调试端口。

您今天想去哪里？

“调试端口”通常是指处理调试请求的侦听网络连接，通常是 TCP 套接字。

与电子邮件服务器通常侦听 TCP 端口 25 的方式相同，等待远程电子邮件客户端通过网络“呼入”并请求传递传入消息的权限，调试端口侦听自己选择的端口（通常可配置，虽然有时仅以未记录的方式）用于想要发出调试命令的传入连接。

然而，与电子邮件服务器不同，它接受与消息传递相关的请求（例如 MAIL FROM 和 RCPT TO)，调试连接通常会提供与您正在连接的应用程序的更亲密的交互。

实际上，调试端口通常不仅可以让您了解应用程序本身的配置和内部状态，还可以直接向应用程序发出命令，包括普通用户无法使用的那种破坏安全性的命令。通过常规用户界面。

例如，电子邮件服务器通常允许您将消息发送到其 TCP 端口以获取您选择的用户名，但它不会让您发送重新配置服务器本身的命令，也不会让您提取秘密信息例如服务器统计数据或其他人的消息。

相比之下，这些正是调试端口通常允许的“功能”，因此开发人员可以在尝试修复问题时调整和监控应用程序的行为，而无需通过常规用户界面。

（当您尝试调试用户界面本身时，您可以看到这种进入应用程序内部的“旁通道”如何特别方便，因为使用 UI 调试 UI 的行为几乎肯定会干扰使用您尝试进行的测量。）

值得注意的是，调试端口通常可以让您获得应用程序本身的某种“内部视图”，例如： 窥视通常不会向应用程序用户公开的内存区域； 抓取可能包含密码和访问令牌等机密数据的数据快照； 并在不提醒用户的情况下触发音频或视频捕获……

…所有这些都无需首先登录应用程序或服务。

换句话说，调试端口是在开发和测试期间使用的必要工具，但它们不应该在应用程序的常规使用期间被激活，或者理想情况下甚至是可激活的，因为它们引入了明显的安全漏洞。

无需密码

粗略地说，如果您可以访问调试器正在侦听的 TCP 端口，并且可以创建到它​​的 TCP 连接，那么这就是您接管应用程序所需的所有身份验证。

这就是为什么调试端口通常只在仔细控制的情况下启用，当您知道您实际上希望允许开发人员能够在应用程序内部四处游荡，享受实际上不受监管和潜在危险的超级大国访问时。

事实上，许多软件产品故意构建成两种不同的风格：调试版本，如果需要，可以打开调试，以及发布版本，其中完全省略调试功能，因此根本无法激活它们，无论是通过意外或设计。

Google 的 Android 手机包含调试模式，您可以插入 USB 数据线并通过所谓的 ADB（简称 Android 调试桥。 要完全启用调试，您首先需要单击 个人设置 > 关于手机 > 内部编号 连续七次（真的！）。 只有这样，打开调试的选项才会出现在菜单中，您可以在其中激活它 个人设置 > 系统 > 高级 > 开发人员选项 > USB调试. 然后，当您插入并尝试从笔记本电脑连接时，您必须通过手机本身的警告弹出窗口授权连接。 如果您可以物理访问未锁定的手机，您当然可以故意这样做，但这不太可能发生错误。

为了增加安全性，调试端口通常设置为不接受来自其他计算机的连接（在技术术语中，它们仅侦听“localhost”接口）。

这意味着试图滥用错误启用的调试接口的攻击者首先需要在您的计算机上立足，例如某种代理恶意软件，它本身接受通过互联网的连接，然后将其网络数据包中继到“localhost”网络接口。

尽管在 CVE-2022-28762 的情况下需要某种本地访问权限，但 Zoom 给这个漏洞的 CVSS“严重性评分”为 7.3/10 (73%)，紧急程度为 高.

本地 TCP 网络连接通常设计为跨用户和进程边界工作，因此攻击者无需以您（或管理员）身份登录即可滥用此漏洞——任何进程，甚至是在非常有限的条件下运行的程序来宾帐户，也许可以随意监视您。

此外，由于通过调试端口发出的软件命令通常独立于应用程序的常规用户界面运行，因此您可能不会看到任何迹象表明您的 Zoom 会话已被这种方式劫持。

如果攻击者通过屏幕共享 (VNC) 等更传统的 Mac 远程控制通道激活应用程序，您至少有机会发现攻击者移动鼠标指针、单击菜单按钮或输入文本……

…但是通过调试界面，本质上是一个故意的后门，您可能完全没有意识到（甚至可能无法检测到）攻击者正在使用您的网络摄像头和麦克风非常个人地窥探您。

怎么办呢？

幸运的是，Zoom 自己的安全团队发现了我们认为是构建时的错误（一个应该被禁止的功能保留启用），并及时更新了有缺陷的 Mac 软件。

将您的 macOS Zoom 客户端更新为 版本 5.12.0 或更高版本 使用 Zoom 时调试端口将保持关闭状态。

在 Mac 上，转到主 zoom.us 菜单并选择 Check for Updates... 看看你是否有最新版本。

---