株式会社ソフテックは、2022年4月1日に株式会社サイバーセキュリティクラウドに吸収合併されました。詳しくはこちら。

SIDfm ブログ

  • 脆弱性情報 /
  • 脆弱性の管理の方法、プロセスの自動化 /
  • パッチ対応の自動化、SOAR

Zoom に資格情報を不正に取得されるなど複数の脆弱性

セキュリティ事件

2020.4.7

はじめに

新型コロナウイルスの流行によって、ビデオ会議サービスの需要が高まっています。 その中でも Zoom は注目を集めているサービスの一つですが、 ユーザの急増と共に、セキュリティやプライバシーの面からも専門家による様々なチェックを受けるようになりました。 チェックによって指摘された問題は、脆弱性のみならず、ユーザのプライバシーに関するものから暗号化方式まで様々なものがありますが、 このエントリでは 2020年3月から4月頃に修正された Zoom クライアントの脆弱性に焦点を当ててご紹介します。

Windows 版および macOS 版 Zoom ミーティングクライアントの脆弱性

Windows 版 Zoom ミーティングクライアントに Windows の資格情報を不正に取得される問題 (CVE なし)

Windows 版 Zoom ミーティングクライアントは、チャット機能の Universal Naming Convention(UNC)パス の処理が原因で脆弱性が存在します。

この脆弱性によって、ユーザがチャット機能を使用している際に、悪意のある UNC パスをクリックすることによって、 UNC パスのリンク先へユーザの Windows のログオン名やハッシュ化された NTLM パスワードを意図せずに送信します。

これは Windows 版 Zoom ミーティングクライアントにおいて、チャットの受信文に含まれる UNC パスをクリック可能なリンクとして表示するため、ユーザがこの UNC パスをクリックすることによって、リンク先のホストへ SMB プロトコル で NTLM のハッシュ化パスワードを含む資格情報を送信することが原因となります。

送信された NTLM パスワードはハッシュ化されていますが、John the Ripper のようなパスワードクラックツールを使用することで比較的容易に平文を得ることができます。

この脆弱性は既に詳細な悪用方法が公開されており、悪用も容易なため、早急に最新版へ更新することを強くお勧めします。

この脆弱性は Windows 版 Zoom ミーティングクライアント 4.6.9 未満に影響します。最新版は Download Center からダウンロードしてください。

macOS 版 Zoom ミーティングクライアントのインストーラの処理に root 権限を奪われる問題 (CVE-2020-11469)

macOS 版 Zoom ミーティングクライアントは、インストーラの処理が原因で脆弱性が存在します。

この脆弱性を利用された場合、ユーザが Zoom ミーティングクライアントのインストーラを実行することによって、ローカルの攻撃者に root 権限を奪われる可能性があります。

これは macOS 版 Zoom ミーティングクライアントのインストーラの処理において、root 権限で実行されるスクリプトを誰でも編集可能なファイルとして展開するため、そのスクリプトを上書きされ root 権限で任意のコマンドを実行できることが原因となります。

この脆弱性は macOS 版 Zoom ミーティングクライアント 4.6.9 未満に影響します。最新版は Download Center からダウンロードしてください。

macOS 版 Zoom ミーティングクライアントに意図しないコードを実行される問題 (CVE-2020-11470)

macOS 版 Zoom ミーティングクライアントは、ライブラリのコード署名検証処理が原因で脆弱性が存在します。

この脆弱性により、ユーザが Zoom を起動する際に悪意のあるライブラリをロードする可能性があります。 これにより Zoom の起動中にマイクやカメラへ許可なくアクセスされ、周囲の状態を盗聴・盗撮される可能性があります。

これは macOS 版 Zoom ミーティングクライアントにおいて、ライブラリに対するコード署名の検証を意図的に無効化しているため、任意のライブラリをロードできることが原因となります。

この脆弱性は macOS 版 Zoom ミーティングクライアント 4.6.9 未満に影響します。最新版は Download Center からダウンロードしてください。

まとめ

Zoom に限った話ではありませんが、ネットワークのコミュニケーションを行うアプリケーションでは、特に最新版を利用するようにしてください。 また Zoom のように名前の知られたサービスのアプリケーションでも仕様や実装に脆弱性やプライバシーの問題を抱えていることがあります。 使用するアプリケーションを選択する際には、過去に発生した問題やその対処などを調査するのも重要です。

参照

組織防衛のために

あなたの組織でこれらの脆弱性が対策されていることを確認できますか? 弊社の継続的脆弱性管理ツール SIDfm VM は、管理対象のホストで使用するソフトウェアで新しく報告された脆弱性のピックアップを行い、影響判定や対策工程の把握まで、脆弱性管理をトータルでカバーいたします。

脆弱性の 調査パッチ探しは一切不要!
脆弱性対策を自動化できるので工数大幅削減!
さらに自社の脆弱性状況を全て可視化できるので
管理がグッと楽になる!

それらを全て実現するサービスがあります。

脆弱性管理ツール「SIDfm VM」について詳しくはこちらから


SIDfmセミナーご案内

  • システム管理者・運用者必見

    【SIDfmを活用した対策】

    脆弱性の情報収集から対策すべきポイントを特定、優先順位づけ、そして対策後の管理など、専門家が脆弱性対策の全体像を整理し事例などを交えて解説します。

    お申込みはこちらへ
最新の記事

脆弱性と対策のことなら

SIDfm

  • お問い合わせ

    SIDfm 各種サービスの使用法や購入において気になる点などお気軽にお問い合わせ下さい。

    お問い合わせ
  • 無料でトライアル

    SIDfm の VM、RA、Biz を実際に無料で使ってみてください。

    無料で試してみる