黑客可利用Zoom 新漏洞执行任意代码

 聚焦源代码安全，网罗国内外最新资讯！

编译：代码卫士

热门视频会议服务Zoom 修复了四个漏洞。攻击者仅需发送特殊构造的XMPP信息就可利用这些漏洞执行恶意代码，攻陷另外一名用户。

这四个漏洞的编号是CVE-2022-22784至CVE-2022-22787，评分介于5.9和8.1之间。谷歌Project Zero 团队的研究员 Ivan Fratric 在2022年2月发现并报告了这些漏洞。

这四个漏洞概述如下：

• CVE-2022-22784 (CVSS 评分：8.1) - Improper XML Parsing in Zoom Client for Meetings

• CVE-2022-22785 (CVSS 评分：5.9) – Zoom 会议客户端中的限制不当会话 cookie

• CVE-2022-22786 (CVSS 评分：7.5) – Windows 版本Zoom 会议客户端中的更新包降级

• CVE-2022-22787 (CVSS 评分：5.9) – Zoom 会议客户端服务器交换过程中的主机名验证不充分

Zoom 的聊天功能依据XMPP标准而构建，成功利用这些漏洞可导致攻击者强迫易受攻击的客户端伪装为 Zoom 用户，连接到恶意服务器，甚至下载恶意更新，从而导致降级攻击，执行任意代码。

Fratric 将这种零点击攻击序列称为 “XMPP 节走私”，表示“一名用户可能欺骗信息源自另外一名用户”，“攻击者可发送控制信息，而这些信息会被当作源自服务器而被接收。”

这些问题的核心在于，它们利用解析 Zoom 客户端中XML解析器和服务器之间的不一致性将任意XMPP 节（即 stanza：XMPP 中的基本通信单元）“走私” 到受害者客户端。

具体而言，该利用链可用于劫持软件更新机制并使客户端连接到中间人服务器，而这些服务器为老旧的安全性低的Zoom客户端服务。

虽然降级攻击并不影响Zoom 的 Windows 版本，但CVE-2022-22784、CVE-2022-22785和CVE-2022-22787影响安卓、iOS、Linux、macOS 和 Windows 版本。

距离Zoom 修复两个高危漏洞（CVE-2022-22782和CVE-2022-22783）不到一个月的时间后，这些漏洞的补丁已发布。另外还修复了Zoom macOS app 的另外一个降级攻击实例 (CVE-2022-22781)。

建议用户更新至最新版本5.10.0，缓解因利用这些漏洞带来的潜在威胁。

---

代码卫士试用地址：https://codesafe.qianxin.com

开源卫士试用地址：https://oss.qianxin.com

---

推荐阅读

谷歌详述 Zoom 客户端和MMR 服务器中的两个0day
Zoom 5.1.2及旧版本在 Win7 上的 DLL 劫持漏洞分析
网红视频会议应用 Zoom 被指“像吸血鬼一样靠收割个人数据敛财”
Zoom 视频会议 app 被曝严重漏洞，75万家企业或受影响

原文链接

https://thehackernews.com/2022/05/new-zoom-flaws-could-let-attackers-hack.html

题图：Pixabay License

本文由奇安信编译，不代表奇安信观点。转载请注明“转自奇安信代码卫士 https://codesafe.qianxin.com”。

奇安信代码卫士 (codesafe)

国内首个专注于软件开发安全的产品线。

    觉得不错，就点个 “在看” 或 "赞” 吧~