На цьогорічній конференції з кібербезпеки DefCon дослідник Патрік Вордл показав дві вразливості в Zoom, які могли забезпечити зловмисників доступом до комп’ютерів з macOS. Перша стосується перевірки підпису програми, яка засвідчує цілісність встановленого оновлення та перевіряє його, щоб переконатися, що це нова версія Zoom. Підпис відповідає за те, щоб зловмисники не змусили програму автоматичного встановлення оновлень завантажити старішу та вразливішу версію програми.

Вордл виявив, що зловмисники можуть обійти перевірку підпису, назвавши свій файл шкідливого ПЗ певним чином. Завдяки цьому вони могли отримати root-доступ і контролювати Mac жертви. Вордл повідомив Zoom про помилку ще в грудні 2021 року, але компанія випустила оновлення вже з іншою вразливістю. Вона могла дати зловмисникам спосіб обійти встановлені засоби захисту Zoom, щоб переконатися, що оновлення має останню версію програми. Повідомляється, що Wardle виявив, що можна обманом змусити інструмент, який полегшує розповсюдження оновлень Zoom, прийняти старішу версію програмного забезпечення для відеоконференцій.

Zoom вже виправив цю помилку, але Вордл знайшов ще одну вразливість, яку він також представив на конференції. Він виявив, що між перевіркою пакета програмного забезпечення програмою автоматичної інсталяції та фактичним процесом інсталяції є момент часу, який дозволяє зловмиснику впровадити шкідливий код в оновлення. Завантажений пакет, призначений для інсталяції, очевидно, може зберегти свої початкові дозволи на читання та запис, що дозволяє будь-якому користувачеві змінювати його. Це означає, що навіть користувачі без кореневого доступу можуть замінити його вміст шкідливим кодом і отримати контроль над цільовим комп’ютером.

Компанія повідомила The Verge, що зараз працює над виправленням нової вразливості, яку розкрив Вордл. Однак, як зазначає Wired, зловмисники повинні мати наявний доступ до пристрою користувача, щоб мати можливість використовувати ці недоліки. Навіть якщо для більшості людей немає безпосередньої небезпеки, Zoom радить користувачам «бути в курсі останніх версій» програми щоразу, коли вона з’являється.