Исследование «бескликовой» атаки на популярное решение для видеоконференций Zoom позволило обнаружить две ранее нераскрытые уязвимости в системе безопасности, которые могут быть использованы для аварийного завершения работы сервиса, выполнения вредоносного кода и даже утечки произвольных областей памяти.
Натали Сильванович из Google Project Zero, которая обнаружила эти две уязвимости в прошлом году и сообщила о них, заявляет, что проблемы затрагивают как клиентские части Zoom, так и серверы Multimedia Router (MMR), которые передают аудио- и видеоконтент между клиентами в локальных системах.
Баги были устранены компанией Zoom в обновлениях, выпущенных 24 ноября 2021 года.
Цель «бескликовой» атаки - незаметно получить контроль над устройством жертвы, не требуя от пользователя какого-либо взаимодействия - например, нажатия на ссылку.
Хотя специфика эксплойта зависит от характера эксплуатируемой уязвимости, ключевой особенностью бескликовых атак является способность не оставлять следов вредоносной активности, что делает их очень сложными для обнаружения.
Две уязвимости, выявленные Project Zero, выглядят следующим образом.
- -2021-34423 (рейтинг CVSS: 9.8) - уязвимость переполнения буфера, которая может быть использована для аварийного завершения работы сервиса или выполнения произвольного кода.
- -2021-34424 (рейтинг CVSS: 7.5) - уязвимость раскрытия памяти процесса, которая может быть использована для получения доступа к произвольным областям памяти продукта.
Проанализировав трафик RTP (Real-time Transport Protocol), используемый для передачи аудио и видео по IP-сетям, исследователи обнаружили, что существует возможность манипулировать содержимым буфера, поддерживающего чтение различных типов данных, путем отправки неправильно сформированного сообщения чата, что приводит к аварийному завершению работы клиента и сервера MMR.
Кроме того, отсутствие проверки NULL - которая используется для определения конца строки - делало возможной утечку данных из памяти, присоединившись к встрече Zoom через веб-браузер.
Исследователи также объяснили повреждение памяти тем, что в Zoom не была включена ASLR - рандомизация расположения адресного пространства, механизм безопасности, разработанный для повышения сложности проведения атак на переполнение буфера.
«Отсутствие ASLR в процессе Zoom MMR значительно увеличило риск его компрометации» - сообщает Сильванович. «ASLR является, пожалуй, самым важным средством защиты от эксплуатации повреждений памяти, эффективность большинства других средств защиты зависят от ASLR на определенном уровне. Нет никаких веских причин для того, чтобы он был отключен в подавляющем большинстве программного обеспечения».
В то время как большинство систем для видеоконференций используют библиотеки с открытым исходным кодом, такие как WebRTC или PJSIP, для реализации мультимедийных коммуникаций, исследователи Project Zero назвали использование Zoom проприетарных форматов и протоколов, а также высокую стоимость лицензирования (почти 1500 долларов) препятствиями для проведения исследований безопасности.
«Программное обеспечение с закрытым исходным кодом несет с собой уникальные проблемы безопасности, и в Zoom могли бы сделать больше, чтобы сделать свою платформу доступной для исследователей безопасности и других желающих оценить ее» - заявила Сильванович. «Хотя команда безопасности Zoom и помогла мне получить доступ и настроить серверное программное обеспечение, неясно, доступна ли эта поддержка другим исследователям, а лицензирование программного обеспечения оказалось крайне дорогостоящим».
Источник: https://thehackernews.com
