פורסם כי פטריק ווארדל, חוקר נוזקות במכשירי מאק מצא שלוש פגיעויות באפליקציה של זום שאפשרו לתוקפים להשיג גישה למחשבים. בזום ציינו כי שתי הפגיעויות הראשונות טופלו ותוקנו וכי הם עדיין עובדים על טיפול של החולשה השלישית. המשתמשים מתבקשים לעדכן את גרסאות האפליקציה בכל פעם שקיים עדכון זמין.

לזום אפשרות לעדכונים אוטומטיים שאמורה לסייע לעדכן גרסה מבלי לעשות זאת באופן ידני בכל פעם. אבל מסתבר כי גם את האפשרות הזו במחשבי מאק ניתן לנצל בעקבות באג אשר מאפשר לתוקפים להשיג גישה למחשבים.

החוקר מצא כי את חתימת האפליקציה של העדכון האוטומטי התוקפים יכולים לעקוף בדרך פשוטה של לתת שם לקובץ של התוכנה הזדונית שלהם בהתאם וכך לדחוף אותו כדי שיאפשר לעדכון להתקין את הקובץ שהתוקפים רוצים. העדכון האוטומטי לאחר מכן יתקין את העדכון הזדוני ויעניק לתוקפים את ההרשאה המלאה שיש לאפליקציה של זום שהיא יכולה להיות גם הגישה למחשב המאק.

את הבאג גילה ווארדל בדצמבר שנה שעברה, זום תיקנו אך העדכון שהציעו הכיל תקלה נוספת שאפשרה לתוקפים להערים על העדכון ולגרום לו לקבל גרסה ישנה יותר של זום וכך לעקוף את התיקון החדש.

זום היו זריזים וטיפלו במהרה, אבל אז החוקר מצא את הפגיעות השלישית באותו התהליך. הוא למעשה הצביע על פרק זמן בין העדכון האוטומטי לבין ההתקנה בפועל שעלולה לאפשר לתוקפים להחדיר קוד זדוני לעדכון.

אלכס שטיינברג, מנהל מוצרים בחברת אבטחת המידע ESET ישראל מציין: "עדכון גרסאות של מוצרים ומערכות הפעלה הוא חשוב מאוד. עדכונים מהסוג הזה מטפלים בבאגים ובבעיות אבטחה קיימות, כך שעדכון עוזר לחזק את ההגנה על המחשב והמידע שלנו. אפליקציית זום הינה פופולרית במיוחד מאז השתנתה סביבת העבודה להיברידית מאז הקורונה, כך שמומלץ בחום למשתמשים הרבים של האפליקציה לעדכן אותה. כמו כן להיות גם בתשומת לב לעדכון שיצא בהמשך ויתקן את הבאג שעדיין לא טופל".

עוד ב-

אזהרה חמורה למשתמשי וואטסאפ: זו ההודעה שאסור לפתוח

לכתבה המלאה

מזום נמסר כי "הפגיעות החדשה שדווחה עבור העדכון האוטומטי של macOS תוקנה ב-Zoom Client for Meetings עבור macOS גרסה 5.11.5.".