В популярном приложении для видеоконференций Zoom недавно исправлена уязвимость системы безопасности, которая позволяла потенциальным злоумышленникам взломать числовой пароль, используемый для обеспечения безопасности частных собраний на платформе, и следить за их участниками.
По умолчанию, собрания Zoom защищены шестизначным цифровым паролем, но, по сообщению Тома Энтони, вице-президента по продуктам компании SearchPilot, обнаружившего проблему, отсутствие ограничения на количество попыток ввода неверного пароля позволяло "атакующему за считанные минуты перебрать 1 миллион возможных паролей и получить доступ к чужому частному собранию Zoom".
Zoom начал запрашивать пароль для всех собраний еще в апреле в качестве превентивной меры в борьбе с кибератаками, направленными на срыв и перехват собраний Zoom без приглашения, публикацию непристойного и расистского контента.
Энтони уведомил о проблеме разработчика 1 апреля 2020 года, приложив доказательства концепции на Python, через неделю после этого Zoom исправил уязвимость.
Собрания по умолчанию защищены шестизначным кодом, что означает миллион доступных комбинаций паролей. При отсутствии проверок на повторяющиеся неправильные попытки ввода пароля, злоумышленник мог использовать веб-клиент Zoom для непрерывной отправки HTTP-запросов и перепробовать весь миллион комбинаций.
"Благодаря многопоточности и распределению по 4-5 облачным серверам, можно проверить весь массив паролей в течение нескольких минут" - сообщил Энтони.
Исследователь также обнаружил, что атака работала как на текущих встречах, так и на запланированных собраниях, которые имеют возможность переопределить стандартный пароль с более длинным буквенно-цифровым вариантом. Была возможность, например, запустить перебор по базе из 10 миллионов самых популярных паролей.
Отдельно была выявлена проблема при входе в систему с помощью веб-клиента, который использовал временную переадресацию для получения согласия клиентов на условия обслуживания и политику конфиденциальности.
"На этапе получения согласия отправлялся заголовок CSRF HTTP, но если его пропустить, то запрос все равно будет работать нормально", - сообщил Энтони. "Неисправность в токене CSRF сделала эксплуатацию уязвимости еще более легкой, но исправление только этой проблемы не обеспечило бы достаточную защиту от атаки".
После выявления данной проблемы компания Zoom вывела веб-клиент в автономный режим 2 апреля для компенсации проблемы, а неделю спустя выпустила исправление.
Платформа для видеоконференций, которая привлекла внимание к ряду проблем безопасности ее широким использованием во время пандемии коронавируса, быстро исправила уязвимости по мере их обнаружения и даже объявила о 90-дневном замораживании выпуска нового функционала в целях «лучшего выявления и исправления ошибок проактивным образом».
В начале этого месяца компания устранила 0-day уязвимость в своем Windows-приложении, которая могла позволить злоумышленнику выполнить произвольный код на компьютере жертвы под управлением Windows 7 или более ранней версии операционных систем Windows.
Также недавно был исправлен баг, позволявший имитировать домен компании в URL приглашениях на Zoom-конференцию и попытаться с помощью социальной инженерии заставить сотрудников или деловых партнеров организации раскрыть конфиденциальную информацию.
Перевод сделан со статьи https://thehackernews.com/
