当前位置： > 华宇总代理 > 正文
正文
一名安全研究人员在流行的视频会议应用Zoom中发现了一个漏洞，这个漏洞可以在未经用户许可的情况下打开麦金塔电脑上的摄像头。
Jonathan Leitschuh周一在Medium上发表的一篇文章中解释说，该漏洞允许任何网站在未经用户许可的情况下，强行加入用户的变焦呼叫，并激活他们的摄像机。
Leitschuh是位于旧金山的开源软件项目Gradle的高级软件工程师。他的文章演示了如何将代码嵌入到一个网站中，以便任何到达该网站的Zoom用户都能在他们的摄像机运行时立即连接到Zoom会议上。
他写道，华宇代理制度这些代码可能被用于恶意广告或网络钓鱼活动。
完全控制用户
Zoom反驳了莱切德周一在首席信息官理查德·法利(Richard Farley)的一篇帖子中得出的一些结论，其中包括会议主持人可以默认打开与会者的视频。
法利写道，主机或参与者不能覆盖用户的音频和视频设置。这包括打开或关闭相机。
法利坚持认为，流氓用户很难隐藏他们在会议中的参与。
他写道:“因为Zoom客户端用户界面在启动时就运行在前台，用户很容易就能看出他们无意中参加了一个会议，他们可以更改视频设置或立即离开。”
法利写道，Zoom从未见过任何一个莱切的漏洞在野外被利用的实例。
不过，他指出，在下一次缩放升级中，用户将能够将他们在第一次缩放会话中使用的设置自动应用到未来的所有会话中。
瞄准Zoom的背部
Leitschuh还发现，他发现的漏洞可能被用来对一台机器发起拒绝服务攻击。它将允许向Mac发送重复的会议请求，Mac最终会将其锁定。
“我们没有任何迹象表明这曾经发生过，”法利写道。
不过，他承认，该公司在今年5月发布了针对该问题的补丁，不过Zoom并没有强迫用户进行更新，因为从经验上看，这是一个风险较低的漏洞。
Leitschuh对Zoom安装Web服务器代码以使其客户端能够更新和安装其自身的新版本提出了批评。即使Zoom从计算机上卸载，这些代码仍然保存在计算机上。
他写道:“让每个缩放用户都有一个Web服务器，它接受HTTP GET请求，并在浏览器沙箱之外触发代码，这在缩放的背后描绘了一个巨大的目标。”
莱切并不是唯一一个批评Zoom的人。
“在卸载之后仍然让服务器运行是不可接受的，”总部位于捷克共和国布拉格的Avast安全研究员马丁·赫伦(Martin Hron)说。Avast生产安全软件，包括Mac电脑的杀毒程序。
解决糟糕的用户体验
Farley解释说，功能有限的Web服务器是一种变通方法，可以适应Safari 12中所做的更改。这些更改要求用户每次参加会议时都要确认他们想要启动Zoom客户机。本地Web服务器允许用户直接参加会议，而无需执行此步骤。
法利写道:“我们认为，这是一个解决糟糕用户体验问题的合理方案，让我们的用户可以更快、一键加入会议。”
他补充说:“在实施这一解决方案的视频会议供应商中，我们并不孤单。”
Farley承认，一旦Zoom客户机启动，就很难同时删除Mac电脑上的Zoom客户机和Web服务器应用程序，但他补充说，预计本周末会有一款新的应用程序卸载这两个文件。
Avast的Hron表示，在此之前，用户应该关闭在参加会议时打开相机的设置，同时禁止浏览器自动打开Zoom应用程序以获取Zoom链接
隐私的噩梦
Mac用户的漏洞可能是个坏消息变焦,根据Leitschuh人数超过400万。
Hron说:“尽管大多数Zoom用户是企业用户，但他们仍然是消费者，如果他们的工作电脑在家里使用或出于个人原因，这一漏洞可能会导致隐私噩梦。”
他解释说:“任何网站都可以在启用视频feed的情况下打开Zoom客户端，这实际上可能会把一次随意的浏览变成对家庭隐私的严重侵犯。”
总部位于东京的网络安全解决方案提供商趋势科技(Trend Micro)负责网络安全的副总裁格雷格·杨(Greg Young)表示，在你不知情的情况下，在你的Mac电脑上开启摄像头和音频功能，可能会导致一系列后果糟糕的场景。
他说:“其中一个结果可能是利用所捕获的视频或截图进行敲诈。
杨说:“另一种情况是，当我们在网上输入信用卡信息时，我们都把信用卡举在面前，对着摄像机，通常至少要翻转一次。”
Malwarebytes实验室主任亚当•库加瓦(Adam Kujawa)指出，企业也应该感到担忧。Malwarebytes总部位于加州圣克拉拉，为微软(Microsoft)的Windows、macOS、安卓(Android)和iOS系统生产一款反软件。
他说:“如果摄像机上显示的任何内容都能被监视，对于一家拥有大量知识产权的公司来说，这可能是非常危险的。
很难武器化，很容易被利用
Kujawa说，这一漏洞将使网络犯罪分子难以以任何有效形式将其武器化，华宇代理:但利用该漏洞的便捷性将带来危害。
“只要发送一封带有指向本地主机服务器链接的令人信服的电子邮件，等待用户点击，”他说，“或者在社交媒体上分享它。”
业界的惯例是给软件制造商90天的时间来修复bug猎人发现的缺陷。
“不幸的是，Zoom并没有按照行业标准，在我给他们的90天披露窗口内修复这个漏洞，”莱切写道。“Zoom on Mac的400多万用户现在很容易因为使用这项服务而受到隐私侵犯。”
版权保护: 本文由 原创，转载请保留链接: http://www.allart.com.cn//cms/2019/0822/57.html
