Ivan Frantic è un "cacciatore di bug" per conto del Project Zero di Google e, qualche mese fa, ha scoperto una grave falla di sicurezza nel software di videoconferenza Zoom. La vulnerabilità, registrata con l'ID CVE-2022-22787 e un punteggio CVSS di gravità pari a 5,9 (minaccia media), riguarda il client Zoom per le riunioni su Windows, MacOS, Linux, Android e iOS nelle versioni precedenti alla 5.10.0 e consente l'esecuzione di codice arbitrario da remoto.
In sostanza, un malintenzionato può sfruttare i messaggi di chat per far sì che un client Zoom vulnerabile installi codice dannoso, come malware, spyware o ransomware, da un server arbitrario. Sebbene l'exploit non sia semplicissimo da eseguire, resta consigliabile aggiornare l'app all'ultima versione il prima possibile.
Gli stessi sviluppatori di Zoom hanno pubblicato un bollettino di sicurezza in cui spiegano le versioni software precedenti alla 5.10.0 non convalidano correttamente il nome host durante una richiesta di cambio server. L'aspetto interessante è che un potenziale attacco non richiede interazione da parte dell'utente: il malintenzionato deve solo inviare messaggi alla vittima tramite la chat di Zoom sfruttando il protocollo XMPP, che è quello utilizzato dall'app per gestire la funzionalità della chat. Il protocollo funziona inviando porzioni di codice XML noti come "stanze" tramite una connessione in streaming. Il problema è che la stessa connessione viene utilizzata per l'invio dei messaggi del client e messaggi di controllo dal server.
La vulnerabilità sfrutta, appunto delle discrepanze tra i parser XML nel client di Zoom e il server software, alla fine di inviare stanze XMPP compromesse al client della vittima: creando un server man-in-the-middle, un malintenzionato può sostituire un qualsiasi dominio con il proprio, come se fosse un "proxy inverso" e intercettare le comunicazioni. Modificando il traffico fra il client e il server web di Zoom è possibile eseguire codice arbitrario e, quindi, installare programmi dannosi sul computer della vittima.
Di conseguenza, se state ancora usando un client di Zoom precedente alla versione 5.10.0, il suggerimento è quello di aggiornare l'app il prima possibile.