Defecto en software permite que los sitios web secuestren cámaras web de MAC

Un defecto en el software de videoconferencia Zoom permite que los sitios web secuestren cámaras web de Mac


Si utiliza el software de videoconferencia Zoom en su computadora Mac, tenga cuidado, cualquier sitio web que visite en su navegador web puede encender la cámara de su dispositivo sin su permiso.
Irónicamente, incluso si alguna vez instaló el cliente Zoom en su dispositivo y simplemente lo desinstaló, un atacante remoto aún puede activar su cámara web.
Zoom es una de las plataformas de reuniones más populares basadas en la nube que ofrece opciones de video, audio y pantalla compartida para los usuarios, permitiéndoles realizar seminarios web, impartir cursos en línea, impartir capacitación en línea o unirse a reuniones virtuales en línea.

En un post de Medium publicado hoy, el investigador de ciberseguridad Jonathan Leitschuh reveló detalles de una vulnerabilidad de seguridad crítica sin parches (CVE-2019-13450) en la aplicación cliente de Zoom para computadoras Apple Mac, que si se combina con un defecto por separado, podría permitir a los atacantes ejecutar arbitrariamente Código en los sistemas de destino de forma remota.

Jonathan informó de manera responsable la vulnerabilidad de la seguridad a la compañía afectada hace más de 90 días, pero el equipo de Zoom no ofreció un parche de seguridad adecuado, lo que puso en riesgo la privacidad y la seguridad de sus más de 4 millones de usuarios.

La vulnerabilidad aprovecha la función de hacer clic para unirse al popular software de conferencia que ha sido diseñado para activar automáticamente la aplicación Zoom instalada en el sistema, lo que permite a los participantes unirse rápidamente a una reunión de video a través de su navegador web tan pronto como hacen clic en una invitación. enlace, por ejemplo, No tienes permitido ver los links. Registrarse o Entrar a mi cuenta
Jonathan descubrió que para ofrecer esta función, el software Zoom ejecuta un servidor web local en el sistema, en el puerto 19421, que "inseguramente" recibe comandos a través de los parámetros HTTPS GET y cualquier sitio web en su navegador web abierto puede interactuar con él.




Para aprovechar esta vulnerabilidad, un atacante debe crear un enlace de invitación a través de su cuenta en el sitio web de Zoom e insertarlo en un sitio web de terceros como una etiqueta de imagen o usar un iFrame y solo convencer a los objetivos para que visiten ese sitio web.

"Al habilitar 'Participantes: Activado' al configurar una reunión, descubrí que cualquier persona que se uniera a mi reunión tenía automáticamente su video conectado", dijo Jonathan.

Tan pronto como los usuarios de Mac con el cliente Zoom instalado en su sistema visiten el sitio web malintencionado, lanzarán a la fuerza la aplicación Zoom y encenderán su cámara web, exponiéndolos a los atacantes.

"Esto podría estar incrustado en anuncios maliciosos, o podría usarse como parte de una campaña de phishing. Si en realidad fuera un atacante, probablemente invirtiera algo de tiempo para incluir también la lógica de puertos en aumento que el código en la ejecución de Javascript en el sitio de Zoom ", dijo Jonathan.


Simplemente desinstalar el software no es suficiente para deshacerse de este problema, ya que Jonathan explicó que la función de hacer clic para unirse también acepta un comando que reinstala automáticamente el zoom sin la intervención o el permiso de los usuarios.


Además de encender la cámara web, la vulnerabilidad también puede ser utilizada para que DoS ataque a la computadora Mac dirigida simplemente enviando una gran cantidad de solicitudes GET repetidas al servidor local.

"Zoom terminó parcheando esta vulnerabilidad, pero todo lo que hicieron fue evitar que el atacante encienda la cámara de video del usuario", dijo Jonathan. "No deshabilitaron la capacidad de un atacante de unirse a una llamada a cualquier persona que visite un sitio malicioso".
La vulnerabilidad afecta a la última versión 4.4.4 de la aplicación Zoom para Mac.



Además de Zoom, Jonathan también reveló la vulnerabilidad a los equipos de Chromium y Mozilla, pero como el problema no reside realmente en sus navegadores web, no hay mucho que puedan hacer estas compañías.

Sin embargo, la buena noticia es que los usuarios aún pueden solucionar este problema en sus extremos. Todo lo que necesita hacer es desactivar manualmente la configuración que permite que Zoom encienda automáticamente su cámara web cuando se una a una reunión.
Para esto, simplemente vaya a la ventana de configuración de Zoom y habilite la opción "Desactivar mi video al unirse a una reunión".

También puedes ejecutar una serie de comandos de Terminal, que puedes encontrar en la parte inferior de la publicación de Jonathan, para desinstalar completamente el servidor web.


Zoom respondió a los hallazgos del investigador

En un comunicado publicado más tarde hoy, la compañía reconoció el problema, pero también agregó que "debido a que la interfaz de usuario del cliente Zoom se ejecuta en primer plano al momento del lanzamiento, sería evidente para el usuario que se unieron a una reunión sin querer y podrían cambiar. Sus ajustes de video o se van inmediatamente ".
Además de esto, la compañía dijo que no tienen "ninguna indicación" si los problemas reportados han sido explotados para violar la privacidad de cualquiera de sus usuarios.

Zoom también reconoció otras preocupaciones relacionadas con su software y dijo que la vulnerabilidad local a la denegación de servicio (DOS) reportada por el investigador ya se había solucionado en mayo de 2019, aunque la compañía dijo que no obligó a sus usuarios a actualizar porque es "empíricamente un vulnerabilidad de bajo riesgo ".

La compañía también dijo que instala un servidor web de funcionalidad limitada cuando los usuarios instalan el cliente de Zoom para ofrecer la función de reuniones de un solo clic para unirse, lo que podría evitar que los usuarios hagan un clic adicional antes de unirse a cada reunión, pero no comentó por qué permanece el servidor instalado en la máquina local incluso cuando un usuario elige desinstalar el software del cliente.





Vía: No tienes permitido ver los links. Registrarse o Entrar a mi cuenta