Enhver Mac med Zoom -telekonference -appen kan spioneres på lige nu. Yep, det er en dårlig dag for Apples sikkerhed, da ondsindede websteder kan kodes for at starte et videokonferenceopkald på en ekstern computer - og angrebet kan endda sendes via e -mail.
Denne nyhed, der blev afsløret af sikkerhedsforsker Jonathan Leitschuh, viser, at selv Mac'er, der ikke længere har Zoom installeret - men engang gjorde - er sårbare. Den gode nyhed er dog, at der er løsninger (en er dog alvorligt vanskelig), og Zoom ser ud til at ordne det hele snart.
Hvad skal jeg gøre nu
Rettelsen, takket være Zoom, der ændrer holdning, ser ud til at være lige så simpel som at acceptere Zoom -opdateringer, når de ankommer. I en opdatering til Zooms store blogindlæg om fejlen oplyste virksomheden, at en patch kommer i aften (9. juli) kl. Eller før kl. 3 EST/midnat PST vil løse tingene. Brugere bliver bedt om at opdatere appen, og at "når den lokale opdatering er færdig," vil den lokale webserver blive fjernet fuldstændigt på den pågældende enhed. "
Opdateringen vil også angiveligt forbedre afinstallationsproceduren. Zooms indlæg siger "Vi tilføjer en ny mulighed til Zoom -menulinjen, der giver brugerne mulighed for manuelt og fuldstændigt at afinstallere Zoom -klienten, inklusive den lokale webserver."
Vi glæder os til at se, om Jonathan Leitschuh og andre sikkerhedsforskere synes, at Zoom gør et grundigt og ordentligt stykke arbejde.
For at beskytte din Mac skal du åbne Indstillinger for zoom - klik på Zoom i menulinjen, klik derefter på Indstillinger - og åbn afsnittet Video. Marker derefter feltet ud for "Sluk for min video, når du deltager i et møde."
I sit indlæg delte Leitschuh også kode til brug i terminalen. Disse instruktioner bliver lidt komplicerede og er bedst for de supertekniske kyndige brugere, der foretrækker det. Disse tip er givet til at udrydde den webserver, Zoom opretter på Mac.
Hvordan det virker
Ja, det er alt muligt, fordi Zoom i hemmelighed installerer en webserver på Mac'er, en der modtager - og accepterer - anmodninger, som dine webbrowsere ikke ville. Leitschuh forklarede, at han forsøgte at arbejde med Zoom og nåede ud til virksomheden i sidste marts, men at dens "løsninger ikke var nok til fuldt ud at beskytte deres brugere."
Som jeg nævnte tidligere, er selv de brugere, der har afinstalleret Zoom fra deres Mac'er, sårbare. Leitschuh forklarer, at webserveren installeret af Zoom forbliver bagud, selv efter at du har fjernet programmet, og at serveren kan fjernaktiveres til at opdatere og automatisk installere den nyeste version af Zoom.
Åh, og et offer behøver ikke engang at blive narret til at åbne en webside. For det første lagde Vimeo -brugeren 'fun jon' videobevis på, at du kan angribe denne fejl via e -mail, og målet behøver ikke engang at åbne meddelelsen. De skal bare bruge en e -mail -klient -app, der downloader den ondsindet kodede meddelelse.
Efter at Leitschuh argumenterede med Zoom og påstod at have fortalt virksomheden, at "at tillade en vært at vælge, om en deltager automatisk vil deltage i video eller ej", er en "selvstændig sikkerhedssårbarhed", var virksomheden uenig og positionerede sin beslutning som pro-bruger: "Zoom tror på at give vores kunder magt til at vælge, hvordan de vil zoome. "
Vil du se det selv?
Hvis du nogensinde har haft Zoom på din maskine, kan du se dette selv.
Søg på Leitschuhs blogindlæg efter sætningen "zoom_vulnerability_poc/" - da det er linket til hans proof of concept, som lancerer et Zoom -opkald. Den første er en lyd-only version; det andet link, som indeholder 'iframe' i URL'en, starter et opkald med video aktiv.
Denne Zoom -sårbarhed er bananer. Jeg prøvede et af bevisene på konceptforbindelser og fik forbindelse til tre andre randoer, der også flippede om det i realtid. https://t.co/w7JKHk8nZypic.twitter.com/arOE6DbQaf - Matt Haughey (@mathowie) juli 9,2021-2022
Denne artikel blev oprindeligt vist på Tom's Guide.
- macOS Catalina Beta anmeldelse
- Jeg brugte en mus med iPadOS og sådan fungerer det
- iPadOS Beta anmeldelse