Vulnerabilidad de parche de Zoom que se puede usar para obtener acceso de root en macOS

zoom video comunicaciones inc. La compañía lanzó hoy un parche para la vulnerabilidad, que fue revelado por el investigador de seguridad Patrick Ward la semana pasada en la conferencia anual DEF CON.

La vulnerabilidad, denominada CVE-2022-28756, se descubrió en Zoom desde las versiones 5.7.3 a 5.11.3 de MacOS, y Apple Inc. Puede permitir que un atacante acceda y se apodere de la computadora. La vulnerabilidad tiene un puntaje de exposición y vulnerabilidades comunes de 8.8, y se recomienda a todos los usuarios de Mac Zoom que actualicen a la última versión de Zoom, 5.11.5, tan pronto como sea posible.

El exploit consiste en conectar el cliente de AutoUpdate en Zoom a un demonio privilegiado o servicio en segundo plano. En un proceso muy extraño de dos pasos, alguien que se dirige a un usuario de Zoom Mac podría omitir la verificación de autenticación en Zoom y engañar al administrador de actualizaciones para que lo obligue a cambiar a una versión anterior y más fácil de usar de Zoom, o lo obligue a descargarlo. . Un conjunto completamente diferente. Usando el primer paso, una versión más vulnerable de Zoom u otro paquete, permitiría al atacante obtener acceso de root a la Mac de la víctima.

“El Zoom Client for Meetings para macOS (Standard and IT Admin)… tiene una vulnerabilidad en la funcionalidad de actualización automática”, dijo Zoom. Boletín de seguridad. “Un usuario local con pocos privilegios podría explotar esta vulnerabilidad para escalar sus privilegios a root”.

Las vulnerabilidades en el software no son nuevas, y Zoom ha tenido su parte justa en el pasado, especialmente cuando el trabajo remoto se convirtió en la norma durante la pandemia de Covid-19, cuando el software pasó de ser una oferta semi-oscura a un verbo para videoconferencia. Si esta revelación de vulnerabilidad es particularmente interesante, surgió antes de que Zoom tuviera un parche adecuado para ello.

Por lo general, cuando los investigadores de seguridad o los llamados “hackers de sombrero blanco” descubren una vulnerabilidad, se comunican con la empresa detrás del software defectuoso y les permiten solucionar el problema antes de que se publiquen los detalles de la vulnerabilidad. Ward fue notificado de la vulnerabilidad de Zoom siete meses antes de que se hicieran públicos los detalles, y tuvo una gran oportunidad de parchearlo correctamente, pero no lo hizo.

Mahalo a todos los que vinieron a mi @defcon “Tu M̶u̶t̶e̶d̶ rooteado” 🙏🏽

Se le solicitó que hablara (y una demostración en vivo 😅) de la vulnerabilidad local private-sc en Zoom (para macOS).

Actualmente no hay parche 👀😱

Diapositivas con detalles completos y exploit PoC: https://t.co/viee0Yd5o2 #0día pic.twitter.com/9dW7DdUm7P

—Patrick Wardle (@patrickwardle) 12 de agosto de 2022

Según Ward, Como se informó Justo antes de DEF CON, Sophos plc anunció que había corregido la vulnerabilidad de Zoom a través de Naked Security. Sin embargo, “después de aplicar el parche, notó que todavía había una brecha en el proceso de actualización”. Después de la presentación de Wardle en DEF CON, continuó arreglando la solución defectuosa.

Wardle es bien conocido en la comunidad de seguridad e hizo lo correcto al no solo informar a Zoom en todos los niveles, sino también al tratar de ayudarlo a solucionar el problema. Zoom tardó siete meses en abordar la vulnerabilidad conocida y el lanzamiento de una actualización defectuosa no refleja tan bien.

Imagen: Acercar