Bất kỳ máy Mac nào có ứng dụng hội nghị từ xa Zoom đều có thể bị theo dõi ngay bây giờ. Đúng, đó là một ngày tồi tệ đối với bảo mật của Apple, vì các trang web độc hại có thể được mã hóa để bắt đầu cuộc gọi hội nghị video từ xa trên máy Mac của bạn - và cuộc tấn công thậm chí có thể được gửi qua email.
Tin tức này, được tiết lộ bởi nhà nghiên cứu bảo mật Jonathan Leitschuh, cho thấy rằng ngay cả những máy Mac không được cài đặt Zoom nữa - nhưng đã từng có - cũng dễ bị tấn công. Tuy nhiên, tin tốt là có những giải pháp (tuy nhiên, một giải pháp rất khó) và Zoom dường như sẽ sớm khắc phục được tất cả.
làm gì bây giờ
Việc khắc phục, nhờ Zoom thay đổi lập trường của nó, có vẻ đơn giản như việc chấp nhận các bản cập nhật Zoom khi chúng đến. Trong một bản cập nhật cho bài đăng trên blog lớn của Zoom về lỗ hổng này, công ty đã tuyên bố một bản vá đến vào tối nay (ngày 9 tháng 7) vào hoặc trước 3 giờ sáng EST / nửa đêm theo giờ PST sẽ giải quyết được mọi thứ. Người dùng sẽ được nhắc cập nhật ứng dụng và sau khi cập nhật xong, "máy chủ web cục bộ sẽ bị xóa hoàn toàn trên thiết bị đó."
Bản cập nhật cũng sẽ cải thiện quy trình gỡ cài đặt. Bài đăng của Zoom cho biết "Chúng tôi đang thêm một tùy chọn mới vào thanh menu Zoom sẽ cho phép người dùng gỡ cài đặt thủ công và hoàn toàn ứng dụng khách Zoom, bao gồm cả máy chủ web cục bộ."
Chúng tôi mong muốn xem liệu Jonathan Leitschuh và các nhà nghiên cứu bảo mật khác có nghĩ rằng Zoom đang thực hiện một công việc kỹ lưỡng và đúng đắn hay không.
Để bảo vệ máy Mac của bạn, hãy mở Cài đặt cho Thu phóng - nhấp vào Phóng to trên thanh menu, sau đó nhấp vào Cài đặt - và mở phần Video. Sau đó, chọn hộp bên cạnh "Tắt video của tôi khi tham gia cuộc họp".
Trong bài đăng của mình, Leitschuh cũng chia sẻ mã để sử dụng trong Terminal. Những hướng dẫn đó hơi phức tạp và tốt nhất cho những người dùng hiểu biết siêu công nghệ, những người thích nó. Những mẹo đó được thực hiện để xóa máy chủ web mà Zoom tạo trên Mac.
Làm thế nào nó hoạt động
Có, điều này là hoàn toàn có thể vì Zoom bí mật cài đặt một máy chủ web trên máy Mac, một máy chủ nhận - và chấp nhận - các yêu cầu mà trình duyệt web của bạn không làm được. Leitschuh giải thích rằng anh đã cố gắng làm việc với Zoom, liên hệ với công ty vào tháng 3 vừa qua, nhưng "các giải pháp của nó không đủ để bảo vệ hoàn toàn người dùng của họ."
Ngoài ra, như tôi đã đề cập trước đó, ngay cả những người dùng đã gỡ cài đặt Zoom khỏi máy Mac của họ cũng dễ bị tấn công. Leitschuh giải thích rằng máy chủ web do Zoom cài đặt vẫn tồn tại ngay cả sau khi bạn gỡ bỏ chương trình và máy chủ có thể được kích hoạt từ xa để cập nhật và tự động cài đặt phiên bản mới nhất của Zoom.
Ồ, và một nạn nhân thậm chí không cần phải bị lừa khi mở một trang web. Đầu tiên, người dùng Vimeo 'vui vẻ' đã đăng video bằng chứng rằng bạn có thể tấn công lỗ hổng này qua email và mục tiêu thậm chí không cần mở tin nhắn. Họ chỉ cần sử dụng một ứng dụng email khách để tải xuống thư được mã hóa độc hại.
Sau khi Leitschuh tranh cãi với Zoom, cáo buộc nói với công ty rằng "việc cho phép máy chủ lưu trữ chọn người tham gia có tự động tham gia video hay không" là một "lỗ hổng bảo mật độc lập", công ty không đồng ý và cho rằng quyết định của mình là người dùng ủng hộ: "Zoom tin tưởng vào việc cung cấp cho khách hàng của chúng tôi sức mạnh để chọn cách họ muốn Thu phóng. "
Bạn muốn xem nó cho chính mình?
Nếu bạn đã từng Zoom trên máy của mình, bạn có thể tự mình thấy điều này.
Tìm kiếm bài đăng trên blog của Leitschuh cho cụm từ "zoom_vulnerability_poc /" - vì đó là liên kết đến bằng chứng về khái niệm của anh ấy, khởi động cuộc gọi Zoom. Đầu tiên là phiên bản chỉ có âm thanh; liên kết thứ hai, bao gồm 'iframe' trong URL, bắt đầu cuộc gọi với video đang hoạt động.
Lỗ hổng Zoom này là chuối. Tôi đã thử một trong những bằng chứng về liên kết khái niệm và được kết nối với ba chiếc randos khác cũng đang lo lắng về nó trong thời gian thực. https://t.co/w7JKHk8nZypic.twitter.com/arOE6DbQaf - Matt Haughey (@mathowie) 9,2022-2023 tháng 7
Bài viết này ban đầu xuất hiện trên Hướng dẫn của Tom.
- Đánh giá macOS Catalina Beta
- Tôi đã sử dụng chuột với iPadOS và đây là cách hoạt động
- Đánh giá iPadOS Beta