建站
咨詢
售后
建站咨詢
新聞中心
Zoom是流行的視頻會議應(yīng)用程序，發(fā)展迅速，到2020年6月份左右已超過2億人次，但是該應(yīng)用程序出名容易成為黑客的攻擊主要目標(biāo)。
溫泉網(wǎng)站建設(shè)公司成都創(chuàng)新互聯(lián),溫泉網(wǎng)站設(shè)計(jì)制作，有大型網(wǎng)站制作公司豐富經(jīng)驗(yàn)。已為溫泉數(shù)千家提供企業(yè)網(wǎng)站建設(shè)服務(wù)。企業(yè)網(wǎng)站搭建\成都外貿(mào)網(wǎng)站建設(shè)公司要多少錢，請找那個售后服務(wù)好的溫泉做網(wǎng)站的公司定做！
國外安全研究員Mazin Ahmed在2020年DEFCON會議上介紹了他的發(fā)現(xiàn)，并披露了Zoom的漏洞，目前所有漏洞已在5.2.4版中修復(fù)。
Ahmed發(fā)現(xiàn)了適用于Linux的Zoom Launcher漏洞，該漏洞可能使攻擊者以啟動“ zoom”可執(zhí)行文件的方式運(yùn)行任何未經(jīng)授權(quán)的軟件。
他使用漏洞情報(bào)平臺FullHunt.io來查詢與Zoom關(guān)聯(lián)的域。
漏洞列表：
- 放大暴露的公共Kerberos身份驗(yàn)證服務(wù)器
- Zoom Production Server上的內(nèi)存泄漏
- Zoom Production Server上無法利用的RCE
- 可訪問的Zoom服務(wù)器上的Shadow IT問題
帶有 Zoom App的Linux 缺陷：
- TLS / SSL實(shí)施錯誤的設(shè)計(jì)實(shí)踐
- 有關(guān)Zoom Launcher實(shí)施的非常糟糕的設(shè)計(jì)實(shí)踐。
- Zoom用戶之間的端到端加密消息以純文本格式存儲在磁盤上。
- 所有本地用戶均可訪問的Zoom Local Database，包括私有的端到端加密消息(以純文本存儲)和訪問令牌。
他觀察到Zoom暴露了Kerberos服務(wù)，該服務(wù)提供了更廣泛的攻擊面來枚舉登錄憑據(jù)。
另一個漏洞是Zoom上的圖像轉(zhuǎn)換，它將GIF轉(zhuǎn)換為PNG，進(jìn)行圖像轉(zhuǎn)換Zoom使用具有內(nèi)存泄漏漏洞的ImageMagick版本，由于未初始化ImageMagick的GIF解析器上的內(nèi)存空間，因此發(fā)生了內(nèi)存泄漏漏洞。
Ahmed發(fā)現(xiàn)“ Zoom TLS / SSL在設(shè)計(jì)上已被Linux破壞，編寫了一個PoC，將TLS / SSL證書指紋注入到本地Zoom數(shù)據(jù)庫中。在用戶計(jì)算機(jī)上執(zhí)行此代碼后，將接受所有注入的證書，而不會在Zoom上出錯?！盳oom沒有完全端到端加密。
Zoom于2020年8月3日發(fā)布了更新，在Zoom版本5.2.4的更新中，所有安全漏洞已得到修復(fù)。
文章題目：國外研究人員發(fā)現(xiàn)Zoom中存在多個安全漏洞
當(dāng)前地址：http://www.5511xx.com/article/dhooisj.html
