Şirketin geliştiricilerinden bazıları, web konferans yazılımı Zoom’daki güvenlik açıklarını yüksek riskli olarak sınıflandırdı. Bazıları, saldırganların kullanıcılara kötü amaçlı kod enjekte etmesine veya sistemdeki hakları genişletmesine olanak tanımış olabilir. Sızıntıları gidermek için güncellemeler hazır.
Yakınlaştırma: Yüksek riskli güvenlik açıkları
En yüksek risk derecesine sahip güvenlik açığı, yerel bir kaydı bir SMB paylaşımına kaydetmek ve daha sonra dosyayı Zoom web portalından bir bağlantı kullanarak açmakla ilgilidir. Bitişik ağlardan gelen saldırganlar, istemci isteklerini yanıtlamak için kötü amaçlı bir SMB sunucusu kullanabilir ve böylece kendi yürütülebilir dosyalarını kurbanlara dayatabilir (CVE-2023-22885, CVSS 8.3risk “yüksek“).
BT yöneticileri için Zoom istemcisinden Windows yükleyici, saldırganların sistemdeki kendi haklarını genişletmelerini sağladı. Bir saldırı zincirinde, kötü niyetli kişiler yükleme işlemi sırasında sistem ayrıcalıkları elde edebilir (CVE-2023-22883, CVSS 7.2, yüksek). Benzer bir güvenlik açığı, BT yöneticileri için Zoom istemcisinin Mac yükleyicisinde bulunabilir ve burada yerel saldırganlar kök ayrıcalıkları elde edebilir (CVE-2023-22884, CVSS 5.2, orta).
Microsoft Edge WebView2 bileşenine yapılan bir güncelleme, Zoom istemcilerini, Zoom Rooms’u ve Zoom VDI’yı Windows’ta bir bilgi sızıntısına karşı savunmasız hale getirdi. Bileşen, metinleri yerel redaksiyon yerine Microsoft’un çevrimiçi yazım denetleyicisine gönderdi. Sorunu çözmek için geliştiriciler kontrol işlevini kapattılar (2023-22880, CVSS 6.8, orta). Başka bir güvenlik açığı, saldırganlar tarafından yakınlaştırma istemcilerini düşürmek için manipüle edilmiş UDP paketleriyle kötüye kullanılmış olabilir. Bunlar, işleme sırasında STUN ayrıştırıcısındaki hatalar nedeniyle çöktü ve olası bir hizmet reddine neden oldu (CVE-2023-22881, CVE-2023-22882; her ikisi de CVSS 6.5, orta).
Güncellenen yazılımla ilgili sorun düzeltildi
Güvenlik açıkları, 5.13.5 sürümünden önceki Android, iOS, Linux, macOS ve Windows için Zoom’u, 5.13.5 sürümünden önceki Android, iOS, Linux, macOS ve Windows için Zoom Rooms’u ve mevcut sürümden önceki Zoom VDI Windows Meeting istemcilerini etkiler. 5.13. 10, 5.13.5 öncesi BT Yöneticileri Windows Yükleyicileri için Toplantılar için Zoom İstemcisi ve 5.13.5 öncesi BT Yöneticisi macOS Yükleyicileri için Toplantılar için Zoom İstemcisi. Üretici, güvenlik bildirimlerini Zoom güvenlik web sitesinde listeler.
Bunlar ayrıca güvenlik açıkları ve özellikle bunlardan etkilenen sürümler hakkında daha fazla ayrıntı içerir. Yöneticiler, güncellenmiş yazılımı Zoom indirme web sitesinden indirebilir. Yazılımda çağrılabilen güncellemeleri kontrol etme işlevi de mevcut durumu bilgisayara aktarmalıdır.
Zoom, en son bu yılın Ocak ayında yazılım güncellemeleri yayınladı. Şirket, içindeki çeşitli güvenlik açıklarını da kapatmış durumda.
(dmk)
Haberin Sonu
Yakınlaştırma: Yüksek riskli güvenlik açıkları
En yüksek risk derecesine sahip güvenlik açığı, yerel bir kaydı bir SMB paylaşımına kaydetmek ve daha sonra dosyayı Zoom web portalından bir bağlantı kullanarak açmakla ilgilidir. Bitişik ağlardan gelen saldırganlar, istemci isteklerini yanıtlamak için kötü amaçlı bir SMB sunucusu kullanabilir ve böylece kendi yürütülebilir dosyalarını kurbanlara dayatabilir (CVE-2023-22885, CVSS 8.3risk “yüksek“).
BT yöneticileri için Zoom istemcisinden Windows yükleyici, saldırganların sistemdeki kendi haklarını genişletmelerini sağladı. Bir saldırı zincirinde, kötü niyetli kişiler yükleme işlemi sırasında sistem ayrıcalıkları elde edebilir (CVE-2023-22883, CVSS 7.2, yüksek). Benzer bir güvenlik açığı, BT yöneticileri için Zoom istemcisinin Mac yükleyicisinde bulunabilir ve burada yerel saldırganlar kök ayrıcalıkları elde edebilir (CVE-2023-22884, CVSS 5.2, orta).
Microsoft Edge WebView2 bileşenine yapılan bir güncelleme, Zoom istemcilerini, Zoom Rooms’u ve Zoom VDI’yı Windows’ta bir bilgi sızıntısına karşı savunmasız hale getirdi. Bileşen, metinleri yerel redaksiyon yerine Microsoft’un çevrimiçi yazım denetleyicisine gönderdi. Sorunu çözmek için geliştiriciler kontrol işlevini kapattılar (2023-22880, CVSS 6.8, orta). Başka bir güvenlik açığı, saldırganlar tarafından yakınlaştırma istemcilerini düşürmek için manipüle edilmiş UDP paketleriyle kötüye kullanılmış olabilir. Bunlar, işleme sırasında STUN ayrıştırıcısındaki hatalar nedeniyle çöktü ve olası bir hizmet reddine neden oldu (CVE-2023-22881, CVE-2023-22882; her ikisi de CVSS 6.5, orta).
Güncellenen yazılımla ilgili sorun düzeltildi
Güvenlik açıkları, 5.13.5 sürümünden önceki Android, iOS, Linux, macOS ve Windows için Zoom’u, 5.13.5 sürümünden önceki Android, iOS, Linux, macOS ve Windows için Zoom Rooms’u ve mevcut sürümden önceki Zoom VDI Windows Meeting istemcilerini etkiler. 5.13. 10, 5.13.5 öncesi BT Yöneticileri Windows Yükleyicileri için Toplantılar için Zoom İstemcisi ve 5.13.5 öncesi BT Yöneticisi macOS Yükleyicileri için Toplantılar için Zoom İstemcisi. Üretici, güvenlik bildirimlerini Zoom güvenlik web sitesinde listeler.
Bunlar ayrıca güvenlik açıkları ve özellikle bunlardan etkilenen sürümler hakkında daha fazla ayrıntı içerir. Yöneticiler, güncellenmiş yazılımı Zoom indirme web sitesinden indirebilir. Yazılımda çağrılabilen güncellemeleri kontrol etme işlevi de mevcut durumu bilgisayara aktarmalıdır.
Zoom, en son bu yılın Ocak ayında yazılım güncellemeleri yayınladı. Şirket, içindeki çeşitli güvenlik açıklarını da kapatmış durumda.
(dmk)
Haberin Sonu