Kõiki Zoomi telekonverentsirakendusega Maci saab praegu nuhkida. Jah, see on Apple'i turvalisuse jaoks halb päev, kuna pahatahtlikke veebisaite saab kodeerida nii, et nad saaksid teie Macis videokonverentskõne eemalt käivitada - ja rünnaku võib saata isegi e -posti teel.
See uudis, mille avalikustas turvauurija Jonathan Leitschuh, näitab, et isegi Macid, kuhu pole Zoomi enam installitud - aga kunagi varem - on haavatavad. Hea uudis on aga see, et lahendused on olemas (üks on siiski tõsiselt raske) ja tundub, et Zoom parandab selle kõik peagi.
Mida teha nüüd
Parandus, tänu Zoomile oma seisukoha muutmisele, näib olevat sama lihtne kui suumi värskenduste vastuvõtmine nende saabumisel. Zoomi suure ajaveebi postituse värskenduse kohta teatas ettevõte, et plaaster tuleb täna õhtul (9. juulil) kell 3:00 EST/keskööst või enne seda. Kasutajatel palutakse rakendust värskendada ja pärast värskenduse lõppu "eemaldatakse kohalik veebiserver sellest seadmest täielikult."
Värskendus parandab väidetavalt ka desinstallimisprotseduuri. Zoomi postituses öeldakse: "Lisame suumi menüüribale uue valiku, mis võimaldab kasutajatel käsitsi ja täielikult Zoom -kliendi, sealhulgas kohaliku veebiserveri, desinstallida."
Ootame huviga, kas Jonathan Leitschuh ja teised turvauurijad arvavad, et Zoom teeb põhjalikku ja korralikku tööd.
Oma Maci kaitsmiseks avage Zoomiseaded - klõpsake menüüribal Zoom, seejärel Seaded - ja avage jaotis Video. Seejärel märkige ruut valiku „Lülita minu video koosolekuga liitumisel välja” kõrval.
Leitschuh jagas oma postituses ka koodi terminalis kasutamiseks. Need juhised muutuvad natuke keeruliseks ja sobivad kõige paremini ülitehnoloogilistele kasutajatele, kes seda eelistaksid. Need näpunäited on mõeldud Zoomi Macis loodud veebiserveri likvideerimiseks.
Kuidas see töötab
Jah, see on kõik võimalik, sest Zoom installib salaja Mac -i veebiserveri, mis võtab vastu ja võtab vastu taotlusi, mida teie veebibrauserid ei teeks. Leitschuh selgitas, et proovis Zoomiga koostööd teha, jõudes ettevõttega eelmise aasta märtsis, kuid selle "lahendustest ei piisanud nende kasutajate täielikuks kaitsmiseks".
Samuti, nagu ma varem mainisin, on haavatavad isegi need kasutajad, kes on Zoomi oma Macist desinstallinud. Leitschuh selgitab, et Zoomi installitud veebiserver jääb maha ka pärast programmi eemaldamist ning serverit saab Zoomi uusima versiooni värskendamiseks ja automaatseks installimiseks eemalt käivitada.
Oh, ja ohvrit ei pea isegi isegi veebilehe avamisega petma. Kõigepealt postitas Vimeo kasutaja "fun jon" videotõendeid selle kohta, et saate seda viga e -posti teel rünnata ja sihtmärk ei pea isegi sõnumit avama. Nad peavad lihtsalt kasutama e -posti kliendirakendust, mis laadib alla pahatahtlikult kodeeritud sõnumi.
Pärast seda, kui Leitschuh Zoomiga vaidles, väites ettevõttele, et "võõrustaja lubamine valida, kas osaleja liitub automaatselt videoga või mitte", on "iseseisev turvaauk", jäi ettevõte eriarvamusele, paigutades oma otsuse kasutajat pooldavaks: "Zoom usub, et annab klientidele võimaluse valida, kuidas nad suumida soovivad. "
Kas soovite seda ise näha?
Kui teil on kunagi olnud Zoom teie arvutis, näete seda ise.
Otsige Leitschuhhi ajaveebipostitusest fraasi "zoom_vulnerability_poc/" - kuna see on link tema kontseptsiooni tõestusele, mis käivitab Zoom -kõne. Esimene on ainult heli versioon; teine link, mis sisaldab URL -is iframe, käivitab kõne aktiivse videoga.
See suumi haavatavus on banaanid. Proovisin ühte kontseptsioonilinkide tõestust ja sain ühenduse kolme muu randoga, mis ka reaalajas sellest välja närisid. https://t.co/w7JKHk8nZypic.twitter.com/arOE6DbQaf - Matt Haughey (@mathowie) 9. juuli 2022-2023
See artikkel ilmus algselt Tom's Guide'is.
- macOS Catalina beetaversiooni ülevaade
- Kasutasin hiirt koos iPadOS -iga ja see toimib järgmiselt
- iPadOS beetaversiooni ülevaade