Webkonferenzen: Hochriskante Lücken in Zoom
In der Online-Konferenzsoftware Zoom haben die Entwickler mehrere Schwachstellen geschlossen. Einige gelten als hochriskant und könnten Codeschmuggel erlauben.
(Bild: Shutterstock/Andrey_Popov)
Sicherheitslücken in der Web-Konferenzsoftware Zoom haben die Entwickler des Unternehmens teils als hochriskant eingestuft. Einige hätten Angreifern ermöglichen können, Nutzerinnen und Nutzern Schadcode unterzujubeln oder die Rechte im System auszuweiten. Aktualisierungen zum Abdichten der Lecks stehen bereit.
Zoom: Hochriskante Sicherheitslücken
Die Schwachstelle mit der höchsten Risikobewertung betrifft das Speichern einer lokalen Aufnahme auf eine SMB-Freigabe und das spätere Öffnen der Datei mittels Link aus dem Zoom-Webportal. Angreifer aus angrenzenden Netzwerken könnten mit einem bösartigen SMB-Server Client-Anfragen beantworten und Opfern damit eigene ausführbare Dateien unterschieben (CVE-2023-22885, CVSS 8.3, Risiko "hoch").
Der Windows-Installer vom Zoom-Client für IT-Administratoren ermöglichte Angreifern, die eigenen Rechte im System auszuweiten. In einer Angriffskette könnten bösartige Akteure beim Installationsprozess Systemrechte erlangen (CVE-2023-22883, CVSS 7.2, hoch). Eine ebensolche Lücke findet sich im Mac-Installer des Zoom-Clients für IT-Admins, dort könnten lokale Angreifer an root-Rechte gelangen (CVE-2023-22884, CVSS 5.2, mittel).
Ein Update der Microsoft Edge WebView2-Komponente hat Zoom-Clients, Zoom Rooms sowie Zoom VDI jeweils unter Windows für ein Informationsleck verwundbar gemacht. Die Komponente hat Texte an Microsofts Online-Rechtschreibprüfung anstatt der lokalen Korrektur gesendet. Die Entwickler haben zur Lösung des Problems die Prüf-Funktion schlicht abgedreht (2023-22880, CVSS 6.8, mittel). Eine weitere Sicherheitslücke hätten Angreifer mit manipulierten UDP-Paketen zum Abschießen von Zoom-Clients missbrauchen können. Diese stürzten durch Fehler des STUN-Parsers bei der Verarbeitung ab, was in einen möglichen Denial-of-Service mündet (CVE-2023-22881, CVE-2023-22882; beide CVSS 6.5, mittel).
Problembehebung mit aktualisierter Software
Die Sicherheitslücken betreffen Zoom für Android, iOS, Linux, macOS und Windows vor Version 5.13.5, Zoom Rooms für Android, iOS, Linux, macOS und Windows vor Version 5.13.5, Zoom VDI Windows Meeting-Clients vor der aktuellen Fassung 5.13.10, Zoom Client für Meetings für IT-Admins Windows-Installer vor 5.13.5 und Zoom Client für Meetings für IT Admin macOS-Installers vor der Version 5.13.5. Auf der Security-Webseite von Zoom listet der Hersteller die Sicherheitsmeldungen auf.
In denen finden sich auch nähere Details zu den Schwachstellen und der konkret davon betroffenen Versionen. Aktualisierte Software können Administratoren von der Zoom-Download-Webseite herunterladen. Auch die in der Software aufrufbare Funktion zur Prüfung auf Updates sollte den aktuellen Stand auf den Rechner verfrachten.
Zuletzt hatte Zoom im Januar dieses Jahres Software-Updates veröffentlicht. Darin hat das Unternehmen ebenfalls diverse Sicherheitslücken geschlossen.
(dmk)
