台灣電腦網路危機處理暨協調中心-TWCERT/CC

資安研究人員發現用戶極多的 Zoom 線上視訊會議服務，其 Mac 版應用程式內含嚴重安全漏洞，可直接開啟用戶 Mac 電腦上的攝影鏡頭，並自動將用戶加入任何視訊會議。

獨立資安研究者 Jonathan Leitschuh 發現 Zoom Mac 版應用程式存有極嚴重的 0-day 安全漏洞，任何網站都可利用這個漏洞，在用戶不知情的情形下，直接開啟 Mac 的攝影鏡頭，把用戶加入任一視訊會議之中。

更糟的是，Zoom 完全沒有告知用戶，其應用程式會在 Mac 上安裝一個在背景運作的網頁伺服器；即使用戶先前已將 Zoom 應用程式自 Mac 上移除，這個網頁伺服器也不會遭到移除，甚至還會自動重新安裝 Zoom 應用程式。

Letischuh 指出，這個漏洞會讓用戶的 Mac 陷入被 DoS 的風險之中，只要攻擊者持續發送大量 GET request 指令給 Zoom 秘密安裝的網頁伺服器，Zoom app 就會不斷向 MacOS 發出回到前景模式的要求，這樣就能有效阻斷用戶的正常操作。

Letischuh 在三月初發現這個漏洞後，立即向 Zoom 回報，但 Zoom 沒有立即處理，在一般公認的 90 天保密期中，也僅推出一個快速修補方案，但並沒有真正解決其安全問題。

在各大科技媒體這兩天廣泛報導後，Zoom 才推出緊急更新版本，完全移除隱藏版的網頁伺服器。

• 參考連結
  • https://medium.com/bugbountywriteup/zoom-zero-day-4-million-webcams-maybe-an-rce-just-get-them-to-visit-your-website-ac75c83f4ef5
  • https://www.theverge.com/2019/7/8/20687014/zoom-security-flaw-video-conference-websites-hijack-mac-cameras
  • https://www.theverge.com/2019/7/9/20688113/zoom-apple-mac-patch-vulnerability-emergency-fix-web-server-remove
  • https://blog.zoom.us/wordpress/2019/07/08/response-to-video-on-concern/

• 更多【資安事件及新聞】請參考 http://twcert.org.tw/twcert/news