Дослідники з кібербезпеки знайшли у Zoom небезпечну вразливість, яка дозволяла учаснику відеодзвінка непомітно запускати код на пристрої іншого учасника. За словами команди A Security, від пошуку помилки до створення робочого експлойту їм знадобилося менше доби та менше ніж 20 запитів до загальнодоступних ШІ-моделей. Zoom уже виправив проблему.
Дослідники з кібербезпеки знайшли у Zoom небезпечну вразливість, яка дозволяла учаснику відеодзвінка непомітно запускати код на пристрої іншого учасника. За словами команди A Security, від пошуку помилки до створення робочого експлойту їм знадобилося менше доби та менше ніж 20 запитів до загальнодоступних ШІ-моделей. Zoom уже виправив проблему.
Про це повідомила команда A Security.
Вразливість, яку дослідники назвали Zoomsday, ховалася у функції анотацій. Це інструмент, який дозволяє під час демонстрації екрана малювати поверх нього, додавати текст, стрілки, фігури та інші позначки.
Коли користувач, наприклад, малює щось на спільному екрані, Zoom передає іншому пристрою не готову картинку, а дані з описом цього малюнка. Програма на пристрої іншого учасника автоматично їх обробляє. Дослідники виявили, що Zoom недостатньо перевіряв, чи не перевищує обсяг отриманих даних допустимий розмір.
Тож зловмисник міг надіслати через анотації більше даних, ніж Zoom був готовий обробити. Через помилку програма записувала зайві дані в сусідню ділянку пам’яті, що зрештою дозволяло запускати на чужому пристрої свій код. Дослідники стверджують, що після успішної атаки можна було, наприклад, викрадати дані, встановлювати шкідливе ПЗ або отримувати доступ до камери та мікрофона.
Дослідники передали ШІ декомпільований код застосунку та попросили знайти функції, через які один учасник зустрічі потенційно може впливати на пристрій іншого. Тоді агент звернув увагу на механізм анотацій і допоміг дослідникам розібратися, як Zoom передає дані про анотації між учасниками зустрічі, а також як зловмисник може створити експлойт.
«Засоби захисту, створені для світу, в якому таких видів зброї було мало, більше не є ефективними. Єдиний надійний спосіб протидії — спрямувати ці ж можливості всередину, постійно перевіряючи власне середовище, перш ніж туди проникне зловмисник», — наголошує A Security
Вчора dev.ua розповідав про GPT-5.6-Cyber — нову модель OpenAI для фахівців із кібербезпеки, що вміє шукати вразливості та створювати й перевіряти експлойти. Під час тестів вона, зокрема, знайшла дві раніше невідомі помилки у рушії V8, який використовується в Google Chrome.
Коментар прихований за порушення правил коментування.
Коментар прихований за порушення правил коментування.
Security researchers often highlight how software vulnerabilities can allow attackers to gain unauthorized access to devices, making users more aware of the importance of downloading applications from reliable sources. When exploring multimedia apps, users can also learn more about safe installation practices alongside resources such as VidMate Free Download, helping them make informed choices while protecting their devices. https://vidmate.ph/