Aggiornamenti recenti Luglio 26th, 2024 2:16 PM
Lug 09, 2019 Marco Schiaffino In evidenza, News, RSS, Vulnerabilità 0
Non c’è niente di peggio di una responsible disclosure che va male. Nel caso di Zoom, il popolare programma di videoconferenza pensato per le aziende, l’ultima segnalazione di vulnerabilità ha avuto esiti decisamente negativi.
La falla di sicurezza (ma sarebbe più corretto parlarne al plurale)è stata individuata da Jonathan Leitschuh, un ricercatore che ha pensato bene di approfondire una particolare funzione di Zoom: quella che consente di usare un semplice link per avviare una conversazione su browser.
Come spiega nel suo report, Leitschuh si è reso conto che questa funzionalità potrebbe essere utilizzata per avviare la webcam di un computer Apple senza l’autorizzazione dell’utente o per bloccare il sistema portando, di fatto, un attacco DoS.
Ficcando il naso nel programma, poi, il ricercatore si è anche reso conto in un’ulteriore falla che permette di “forzare” la reinstallazione del programma anche se l’utente lo ha rimosso. Questo perché Zoom installa un Web Server sulla porta 19421 che rimane attivo anche dopo la disinstallazione. Per avviare la procedura di installazione basta un invito a unirsi a una conferenza.
Nulla di particolarmente difficile da risolvere, ma come racconta l’analista, il percorso verso la patch non è stato esattamente un esempio di “collaborazione virtuosa”.
Dalle parti di Zoom, infatti, in questa occasione gli sviluppatori non hanno certamente brillato per reattività. Secondo quanto riporta Leitschuh, la conferma della vulnerabilità in risposta alla prima segnalazione (inviata il 26 di marzo) sarebbe arrivata solo 10 giorni dopo.
Ancor peggio, il primo incontro per discutere lo sviluppo della patch è avvenuto solo l’11 di giugno. Considerata la scadenza di 90 giorni data dal ricercatore, in quel momento rimanevano solo 18 giorni per sistemare le cose. Non solo: il progetto di patch proposto dagli sviluppatori di Zoom in quell’occasione non convinceva Leitschuh, che riteneva il fix facilmente aggirabile.
Arrivati alla scadenza, spiega Jonathan Leitschuh, il risultato è stata la pubblicazione di una patch che conteneva il fix “parziale”, che in seguito sarebbe stato ulteriormente degradato.
Insomma: le falle (con l’eccezione di quella relativa al DoS) sarebbero ancora presenti. Peggio ancora: secondo Leitschuh buona parte dei più di 4 milioni di utenti Mac di Zoom non utilizzerebbero una versione aggiornata del programma (che non prevede update automatici) e potrebbe, di conseguenza, essere vulnerabile anche alla falla che è stata corretta.
Il suggerimento, per gli utenti Mac di Zoom, è di eseguire manualmente gli aggiornamenti e di mettere in atto alcuni accorgimenti (indicati nel dettaglio nel suo report) per proteggersi da eventuali attacchi.
Lug 03, 2024 0
Giu 11, 2024 0
Mag 30, 2024 0
Mag 16, 2024 0
Lug 26, 2024 0
Lug 26, 2024 0
Lug 25, 2024 0
Lug 25, 2024 0
Lug 26, 2024 0
Parigi è al centro dell’attenzione mondiale per le...Lug 24, 2024 0
Il 19 luglio 2024 è una data che rimarrà impressa per...Lug 24, 2024 0
Con l’obiettivo di assicurare un adeguato livello di...Lug 23, 2024 0
Le password sono ormai universalmente riconosciute come un...Lug 23, 2024 0
Sembra un numero fin troppo elevato, ma è tutto vero:...Mag 21, 2024 0
Una delle sfide principali delle aziende distribuite sul...Mag 08, 2024 0
L’ultimo non è stato un buon anno per Microsoft:...Mag 04, 2018 0
E se vi dicessimo che la saga di Star Wars ...Nov 14, 2016 2
Abbiamo rubato al blog di Kaspersky un vecchio pezzo di...Nov 08, 2016 2
Il numero uno degli scacchi mondiali Magnus Carlsen ha...Lug 26, 2024 0
Parigi è al centro dell’attenzione mondiale per le...Lug 26, 2024 0
Tanti videogiocatori si affidano ai cheat per avere più...Lug 25, 2024 0
I ricercatori di ESET hanno scoperto EvilVideo, una...Lug 25, 2024 0
Daggerfly, gruppo di cybercriminali cinesi conosciuto anche...Lug 24, 2024 0
Il 19 luglio 2024 è una data che rimarrà impressa...