В клиенте Zoom нашли уязвимость нулевого дня

Компания Acros Security сообщила о опасном баге в клиенте Windows приложения для видеоконференций Zoom. Специалисты сообщают, что уязвимость представляет угрозу для Windows 7 и серверных продуктов Windows Server 2008 R2 и так же более ранних Windows ОС. Подчеркивается, что баг нашли не сами эксперты Acros Security, а некий ИБ-специалист, пожелавший остаться неизвестным.

Эксплуатация уязвимости которая в итоге приводит к выполнению произвольного кода на компьютере жертве, совсем не сложная. Достаточно любым обманным путем заставить пользователя открыть вредоносный файл. Причем никаких предупреждений о опасности пользователь не получит.

Хотя о проблеме уже сообщил инженерам Zoom, патча для нее пока нет, хотя работа над ним уже ведется. Поэтому специалисты Acros Security, занимающиеся разработкой решения 0patch, пока подготовили временное исправление.

0patch – это платформа, предназначенная как раз для таких ситуаций, то есть исправления 0-day и других непропатченных уязвимостей, для поддержки продуктов, которые уже не поддерживаются производителями, кастомного софта и так далее.

Демонстрацию уязвимости в действии, а также блокирование бага посредством 0patch можно увидеть в этом видео

Интересно, что об уязвимости нулевого дня стало известно именно тогда, когда компания Zoom наконец вернулась к активной работе над приложением. Напомню, что в апреле текущего года, после серьезной критики со стороны ИБ-сообщества, Zoom приостановила разработку на 90 дней и в этот период занималась исключительно улучшением безопасности своего продукта.

За прошедшие месяцы компания учла множество рекомендаций специалистов, исправила ряд проблем с безопасностью, создала программу bug bounty, учредила совет CISO, а также пригласила множество сторонних экспертов для дальнейшей работы над развитием Zoom.

Но по поводу данной уязвимости представители Zoom пока не называют точных сроков выхода патча.