Prawica

Badacz bezpieczeństwa znalazł sposób, w jaki atakujący może wykorzystać wersję Zoom dla systemu MacOS, aby uzyskać dostęp do całego systemu operacyjnego. Szczegóły exploita zostały ujawnione w prezentacji przedstawionej przez specjalistę ds. bezpieczeństwa komputerów Mac Patricka Wardle’a na konferencji hakerskiej Def Con w Las Vegas w piątek. Niektóre z błędów zostały już naprawione przez Zoom, ale badacz przedstawił również jedną niezałataną lukę, która nadal wpływa na systemy. Exploit działa poprzez celowanie w instalator aplikacji Zoom, który musi działać ze specjalnymi uprawnieniami użytkownika, aby zainstalować lub usunąć główną aplikację Zoom z komputera. Chociaż instalator wymaga od użytkownika podania hasła przy pierwszym dodaniu aplikacji do systemu, Wardle odkrył, że funkcja automatycznej aktualizacji jest następnie stale uruchomiona w tle z uprawnieniami superużytkownika. Atak polegający na eskalacji uprawnień Gdy Zoom wydawał aktualizację, funkcja aktualizująca instalowała nowy pakiet po sprawdzeniu, czy został on podpisany kryptograficznie przez Zoom. Jednak błąd w sposobie zaimplementowania metody sprawdzania oznaczał, że podanie aktualizatorowi dowolnego pliku o tej samej nazwie co certyfikat podpisujący Zoom wystarczy, aby przejść test — atakujący mógł więc podstawić dowolny rodzaj złośliwego programu i uruchomić go przez aktualizator z podwyższonymi uprawnieniami. Rezultatem jest atak polegający na eskalacji uprawnień, który zakłada, że ​​atakujący uzyskał już wstępny dostęp do systemu docelowego, a następnie wykorzystuje exploita, aby uzyskać wyższy poziom dostępu. W tym przypadku osoba atakująca zaczyna od konta użytkownika z ograniczonym dostępem, ale eskaluje do najpotężniejszego typu użytkownika — znanego jako „superużytkownik” lub „root” — umożliwiając mu dodawanie, usuwanie lub modyfikowanie dowolnych plików na komputerze. Wardle jest założycielem Objective-See Foundation, organizacji non-profit, która tworzy narzędzia bezpieczeństwa typu open source dla systemu macOS. Wcześniej, na konferencji poświęconej cyberbezpieczeństwu Black Hat, która odbyła się w tym samym tygodniu, co Def Con, Wardle szczegółowo opisał nieautoryzowane użycie algorytmów wydobytych z jego oprogramowania zabezpieczającego o otwartym kodzie źródłowym przez firmy nastawione na zysk. „To było naprawdę frustrujące czekać… sześć, siedem, osiem miesięcy” Po protokołach odpowiedzialnego ujawnienia, Wardle poinformował Zoom o luce w grudniu zeszłego roku. Ku swojej frustracji mówi, że początkowa poprawka Zoom zawierała inny błąd, który oznaczał, że luka nadal była możliwa do wykorzystania w nieco bardziej okrężny sposób, więc ujawnił ten drugi błąd Zoomowi i czekał osiem miesięcy przed opublikowaniem badania. „Dla mnie to było trochę problematyczne, ponieważ nie tylko zgłosiłem błędy do Zoom, ale także zgłosiłem błędy i jak naprawić kod”, powiedział Wardle w rozmowie telefonicznej przed rozmową. „Więc to było naprawdę frustrujące czekać, co, sześć, siedem, osiem miesięcy, wiedząc, że wszystkie wersje Zoom na Maca były podatne na ataki na komputerach użytkowników”. Kilka tygodni przed wydarzeniem Def Con, Wardle mówi, że Zoom wydał łatkę, która naprawiła błędy, które początkowo odkrył. Ale po bliższej analizie kolejny mały błąd oznaczał, że błąd nadal można wykorzystać. W nowej wersji instalatora aktualizacji pakiet do zainstalowania jest najpierw przenoszony do katalogu, którego właścicielem jest użytkownik „root”. Ogólnie oznacza to, że żaden użytkownik, który nie ma uprawnień administratora, nie może dodawać, usuwać ani modyfikować plików w tym katalogu. Ale z powodu subtelności systemów Unix (z których jednym jest macOS), gdy istniejący plik jest przenoszony z innej lokalizacji do katalogu głównego, zachowuje te same uprawnienia do odczytu i zapisu, które miał poprzednio. Tak więc w tym przypadku zwykły użytkownik może go nadal modyfikować. A ponieważ można go zmodyfikować, złośliwy użytkownik nadal może zamienić zawartość tego pliku na wybrany przez siebie plik i użyć go do zostania rootem. Chociaż ten błąd jest obecnie dostępny w Zoomie, Wardle twierdzi, że jest bardzo łatwy do naprawienia i ma nadzieję, że mówienie o tym publicznie „nasmaruje koła”, aby firma mogła się nim zająć prędzej niż później. W oświadczeniu dla The Verge, Matt Nagel, szef ds. bezpieczeństwa i prywatności w Zoom, powiedział: „Zdajemy sobie sprawę z nowo zgłoszonej luki w automatycznym aktualizatorze Zoom dla systemu macOS i pilnie pracujemy, aby ją rozwiązać”.
Aktualizacja 12 sierpnia, 23:09 ET: Artykuł zaktualizowany o odpowiedź Zoom.