На DEF CON 2020 продемонстрировали несколько уязвимостей в Zoom

На DEF CON 2020 продемонстрировали несколько уязвимостей в Zoom

На конференции DEF CON 2020 специалисты в области кибербезопасности продемонстрировали несколько уязвимостей в Zoom, популярном сервисе для видеоконференций. Две бреши затрагивают Linux-клиент, позволяют извлечь данные и даже запустить вредоносную программу.

О проблемах безопасности рассказал эксперт Мазин Ахмед. На DEF CON 2020 он поделился сведениями об уязвимостях, а также указал на некорректно настроенную площадку для разработки.

По словам Ахмеда, тестовый сервер Zoom не обновлялся с сентября 2019 года. Значит, в нём мог содержатся целый ряд непропатченных дыр.

В первый раз специалист уведомил компанию в апреле, повторно — в июле. И лишь 3 августа разработчики выпустили патч с версией 5.2.4.

Ахмед подчёркивает, что для успешной эксплуатации уязвимостей злоумышленник должен изначально скомпрометировать устройство жертвы любым другим способом. Однако это, как отметил специалист, не отменяет опасности брешей.

Например, одна из обнаруженных уязвимостей затрагивает Zoom Launcher для Linux. В теории атакующий может запустить несанкционированный софт. Как отметил Ахмед, это сводит на нет работу «белых списков», поскольку вредонос может работать в качестве подпроцесса Zoom.

Помимо этого, злоумышленники с физическим доступом к компьютеру жертвы могут прочитать и извлечь данные пользователя Zoom, его переписки (хранятся в виде простого текста) и просмотреть настройки.

Anti-Malware Яндекс ДзенПодписывайтесь на канал "Anti-Malware" в Яндекс Дзен, чтобы первыми узнавать о новостях и наших эксклюзивных материалах по информационной безопасности.

Вышел Google Chrome 106 с патчами для 20 уязвимостей

Разработчики Google выпустили новую версию Chrome под номером 106. В этом обновлении насчитываются патчи для 20 уязвимостей, пять из которых получили высокую степень риска. Информация о большей части дыр попала к девелоперам через сторонних исследователей.

Согласно записи в блоге Googe, новые сборки получили номера 106.0.5249.61 (для macOS и Linux) и 106.0.5249.61/62 (для Windows). Список всех изменений и нововведений корпорация занесла в специальный лог.

Как всегда, Google отказывается публиковать технические подробности уязвимостей до того, как подавляющее большинство пользователей установит патчи. Тем не менее на странице Chrome Security можно прочитать про ряд устранённых проблем в безопасности. Например, выделяются наиболее опасные:

  • CVE-2022-3304 — баг класса Use-after-free (UAF, некорректное использование динамической памяти) в CSS. Сообщил анонимный исследователь.
  • CVE-2022-3201 — недостаточная валидация ввода в Developer Tools. Сообщил специалист NDevTK.
  • CVE-2022-3305 — ещё одна UAF в Survey. Сообщил исследователь из 360 Vulnerability Research Institute.
  • CVE-2022-3307 — UAF в Media. сообщили эксперты Anonymous Telecommunications Corp.

По словам Google, благодаря специалистам по кибербезопасности многие уязвимости удалось устранить ещё до того, как они попали в стабильный релиз. Всем пользователям рекомендуется установить последнюю версию браузера Chrome.

Anti-Malware Яндекс ДзенПодписывайтесь на канал "Anti-Malware" в Яндекс Дзен, чтобы первыми узнавать о новостях и наших эксклюзивных материалах по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru