Nueva alerta de seguridad para los usuarios de Zoom. Expertos en ciberseguridad recomiendan verificar que se esté ejecutando la más reciente versión del popular software de videoconferencia en sus dispositivos Windows, macOS o Linux, pues contiene correcciones para una serie de vulnerabilidades críticas.
El equipo de investigadores de Cisco Talos reveló el hallazgo de dos fallas críticas que podrían permitir a los actores de amenazas hackear los sistemas de los participantes de sesiones grupales de Zoom. Estas son vulnerabilidades de recorrido de ruta que pueden explotarse para escribir o plantar archivos arbitrarios en los sistemas que ejecutan versiones vulnerables de Zoom para ejecutar código malicioso.
La explotación exitosa de estas fallas requeriría poca interacción por parte de los participantes de chat (incluso podrían explotarse sin interacción de la víctima), y el ataque sólo requiere del envío de mensajes especialmente diseñados a través del chat en una sesión de Zoom.
La primera falla, identificada como CVE-2020-6109, reside en la forma en que Zoom aprovecha el servicio GIPHY (que fue adquirido por Facebook hace poco), para permitir a sus usuarios buscar y enviar GIFs sin abandonar la videoconferencia. Zoom no verifica si un GIF compartido se está cargando desde el servicio Giphy o no, por lo que los hackers podrían incrustar un GIF desde un servidor malicioso sin que los usuarios detectaran la conducta anómala.
Por otra parte, CVE-2020-6110 es una vulnerabilidad de ejecución remota de código que reside en la forma en que las versiones vulnerables de los fragmentos de código de proceso de la aplicación Zoom compartían el chat.
La funcionalidad de chat de Zoom se basa en el estándar XMPP con extensiones adicionales para admitir la rica experiencia del usuario. Una de esas extensiones admite una función que incluye fragmentos de código fuente que tienen soporte para resaltar la sintaxis completa. La función para enviar fragmentos de código requiere la instalación de un complemento adicional, pero recibirlos no requiere esto. Esta característica se implementa como una extensión del soporte para compartir archivos.
Esta característica crea un archivo zip del fragmento de código compartido antes de enviarlo y luego lo descomprime automáticamente en el sistema del destinatario. Según los investigadores, la función de extracción del archivo zip de Zoom no valida el contenido del archivo zip antes de extraerlo, lo que permite a los hackers plantar binarios arbitrarios en sistemas específicos.
Las fallas ya han sido corregidas, por lo que los usuarios de Zoom sólo deben verificar la adecuada instalación de los parches de seguridad.
Trabajando como arquitecto de ciberseguridad, el se enfoca en protección de datos y la seguridad de datos empresariales. Antes de unirse a nosotros, ocupó varios puestos de investigador de ciberseguridad con diferentes empresas. También tiene experiencia en diferentes industrias como finanzas, salud medica y reconocimiento facial.