Новые дыры в Zoom позволяют взломать собеседника через отправку сообщений

Новые дыры в Zoom позволяют взломать собеседника через отправку сообщений

Новые дыры в Zoom позволяют взломать собеседника через отправку сообщений

В популярном сервисе для видеоконференций Zoom устранили четыре уязвимости, которые можно использовать для взлома пользователей. Эксплуатация подразумевает отправку жертве в чат специально созданных XMPP-сообщений (Extensible Messaging and Presence Protocol), которые позволят выполнить вредоносный код.

Проблемы в безопасности получили диапазон идентификаторов с CVE-2022-22784 по CVE-2022-22787. Наименее опасной бреши присвоили 5,9 балла, а самой серьёзной — 8,1. Баги обнаружил эксперт Google Project Zero Иван Фретрик.

В своём отчёте, который был направлен разработчикам Zoom, Фретрик классифицирует и описывает уязвимости следующим образом:

  • CVE-2022-22784 (8,1 балла по CVSS) — некорректный парсинг XML в клиенте Zoom.
  • CVE-2022-22785 (5,9 балла по CVSS) — некорректно ограниченные cookies сессии.
  • CVE-2022-22786 (7,5 балла по CVSS) — даунгрейд пакетов обновлений в клиенте Zoom для Windows.
  • CVE-2022-22787 (5,9 балла по CVSS) — недостаточная валидация хоста при переключении сервера.

Успешная эксплуатация со стороны злоумышленника позволит ему выполнить ряд действий, среди которых подключение к вредоносному серверу и даже загрузка потенциально опасного обновления.

Фретрик подробно описал найденные проблемы в отчёте «XMPP Stanza Smuggling», уточнив, что условный атакующий может отправить жертве сообщения, которые обработаются так, будто были отправлены с сервера.

Пользователям рекомендуют обновить Zoom до версии 5.10.0, чтобы снизить риски эксплуатации выявленных багов.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

Сайт и приложение РЖД атакуют

Официальный сайт и мобильное приложение АО «РЖД» перестали открываться. В компании объяснили перебои DDoS-атакой. При этом, как подчёркивают в РЖД, инцидент не повлиял на работу касс, в том числе на вокзалах и станциях — они продолжают функционировать в штатном режиме.

«Наш сайт и мобильное приложение подверглись DDoS-атаке. Мы прилагаем все усилия, чтобы как можно быстрее восстановить их работу», — говорится в сообщении официального телеграм-канала РЖД. — «Приносим извинения за доставленные неудобства».

Согласно данным сервиса Downdetector.su, около 11:00 по московскому времени был зафиксирован резкий всплеск жалоб на работу как основного сайта РЖД, так и Сервисного портала компании. При этом различается география обращений: если сбои на основном сайте отмечались равномерно по всей стране, то в случае Сервисного портала большинство жалоб поступило с Дальнего Востока, прежде всего из Сахалинской области.

У автора этих строк сайт РЖД открывался, но медленно и с ошибками отображения: страница загружалась не полностью, верстка была искажена, многие сервисы — недоступны. Также сообщается, что мобильное приложение запускается, но оформить билеты через него невозможно.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru