Các lỗ hổng mới trong Zoom cho phép tin tặc tấn công người dùng chỉ bằng một tin nhắn

Ứng dụng truyền thông doanh nghiệp phổ biến Zoom đã được khắc phục bốn lỗ hổng bảo mật, có thể bị lợi dụng để xâm phạm người dùng bằng cách gửi tin nhắn độc hại và thực thi mã độc.

Các lỗ hổng được định danh từ CVE-2022-22784 đến CVE-2022-22787, được Ivan Fratric của Google Project Zero phát hiện và báo cáo vào tháng 2 năm 2022.

Các lỗ hổng bao gồm:

- CVE-2022-22784 (điểm CVSS: 8.1) - Improper XML Parsing

- CVE-2022-22785 (điểm CVSS: 5,9) - Improperly constrained session cookies

- CVE-2022-22786 (điểm CVSS: 7,5) - Update package downgrade (chỉ ảnh hưởng trên Windows)

- CVE-2022-22787 (điểm CVSS: 5,9) - Xác thực tên máy chủ không chính xác trong quá trình chuyển đổi máy chủ

Chức năng trò chuyện của Zoom được xây dựng dựa trên tiêu chuẩn XMPP. Việc khai thác thành công các lỗ hổng cho phép kẻ tấn công giả mạo người dùng Zoom hoặc lừa người dùng kết nối đến máy chủ độc hại hay tải xuống bản cập nhật giả mạo có thể dẫn đến thực thi mã tùy ý phát sinh từ tấn công downgrade.

Fratric gọi chuỗi tấn công zero-click là một trường hợp của "XMPP Stanza Smuggling", "một người dùng có thể giả mạo tin nhắn như thể đến từ một người dùng khác" và "kẻ tấn công có thể giả mạo tin nhắn máy chủ để gửi đến các mục tiêu "

Về bản chất, các lỗ hổng lợi dụng việc phân tích cú pháp không nhất quán giữa chức phân tích cú pháp XML trong máy khách và máy chủ Zoom để smuggle XMPP stanzas tùy ý trên máy nạn nhân.

Chuỗi khai thác có thể bị lạm dụng để chiếm quyền điều khiển cơ chế cập nhật phần mềm và khiến máy khách kết nối với máy chủ độc hại lưu trữ phiên bản cũ, kém an toàn hơn của ứng dụng.

Lỗ hổng downgrade chỉ ảnh hưởng trên phiên bản Windows, các lỗ hổng CVE-2022-22784, CVE-2022-22785 và CVE-2022-22787 ảnh hưởng đến ứng dụng trên nền tảng Android, iOS, Linux, macOS và Windows.

Các bản vá đã được phát hành chưa đầy một tháng sau khi Zoom giải quyết hai lỗ hổng mức cao (CVE-2022-22782 và CVE-2022-22783) dẫn đến leo thang đặc quyền và làm lộ nội dung bộ nhớ trong các dịch vụ on-premise Meeting. Một trường hợp tấn công downgrade khác (CVE-2022-22781) trong ứng dụng Zoom dành cho macOS cũng đã được khắc phục.

Người dùng ứng dụng Zoom được khuyến nghị cập nhật lên phiên bản mới nhất (5.10.0) để giảm thiểu mọi đe dọa tiềm ẩn phát sinh từ việc khai thác các lỗ hổng.

Nguồn: thehackernews.com.