Nếu đang sử dụng phần mềm Zoom để học tập và hội họp trực tuyến, dù trên bất kỳ hệ điều hành nào bạn cũng nên đảm bảo thiết bị đã cập nhật lên phiên bản ứng dụng mới nhất.
The Hacker News vừa cảnh báo về hai lỗ hổng mới phát hiện trên phần mềm Zoom, ảnh hưởng trên tất cả thiết bị chạy hệ điều hành Windows, macOS và Linux. Các nhà nghiên cứu an ninh mạng của Cisco Talos cho biết họ đã phát hiện hai lỗ hổng này cho phép kẻ tấn công xâm nhập vào hệ thống, tham gia trò chuyện nhóm hoặc chiếm quyền điều khiển từ xa. Cả hai đều có khả năng bị khai thác để ghi hoặc cài các tập tin tùy ý chứa mã độc lên hệ thống.
Theo các nhà nghiên cứu, muốn khai thác thành công cả hai lỗ hổng cần rất ít, thậm chí không cần sự tương tác từ những người tham gia cuộc họp trực tuyến. Tin tặc chỉ cần gửi một loại tin nhắn chứa tập tin GIF được thiết kế đặc biệt cho từng cá nhân hoặc nhóm.
Lỗ hổng bảo mật đầu tiên (CVE-2020-6109) nằm ở cách Zoom xử lý những tin nhắn dưới dạng tập tin GIF. Theo các nhà nghiên cứu, nhà phát triển Zoom đã không kiểm tra xem tập tin đó có thực sự bắt nguồn từ dịch vụ GIPHY hay không. Tin tặc đã lợi dụng điểm này để tạo ra những tập tin GIF độc hại từ máy chủ của bên thứ ba, hòng chiếm quyền và kiểm soát hệ thống.
Mặt khác, tin tặc còn có thể lừa ứng dụng lưu những tập tin độc hại ngụy trang dưới dạng tập tin GIF vào bất kỳ thư mục nào trên thiết bị. Mỗi máy nhiễm mã độc là một nguồn lây lan, việc gửi tập tin GIF đến người dùng cụ thể hoặc một nhóm nhiều thành viên cũng dễ dàng. Vì vậy, đây là một lỗ hổng nguy hiểm, dễ bị khai thác và phát tán với quy mô lớn.
Lỗi thứ hai (CVE-2020-6110) là lỗ hổng thực thi mã từ xa, nằm trong cách các đoạn mã xử lý ứng dụng chia sẻ trong quá trình trò chuyện.
“Chức năng trò chuyện trên phần mềm Zoom được xây dựng dựa trên chuẩn XMPP (Extensible Messaging and Presence Protocol – Giao thức truyền tải tin nhắn) với một số tiện ích mở rộng bổ sung để hỗ trợ người dùng có nhiều trải nghiệm phong phú hơn. Một trong những tiện ích đó hỗ trợ một tính năng gồm các đoạn mã nguồn với cú pháp đầy đủ. Để gửi đoạn mã, thiết bị cần cài đặt plugin bổ sung nhưng hệ thống nhận thì không. Tính năng này được triển khai như mọt phần mở rộng của chức năng chia sẻ tập tin”, các nhà nghiên cứu giải thích.
Tính năng này tạo ra tập tin lưu trữ zip của đoạn mã được chia sẻ trước khi gửi, sau đó tự động giải nén trên hệ thống của người nhận. Theo các nhà nghiên cứu, tính năng trích xuất tập tin zip của phần mềm Zoom không xác thực nội dung tập tin trước khi giải nén. Nắm được điều này, tin tặc đã tạo ra các tập tin nhị phân tùy ý trên thiết bị của nạn nhân.
Các nhà nghiên cứu của Cisco Talos đã thử nghiệm cả hai lỗi trên phiên bản 4.6.10 của ứng dụng Zoom phiên bản khách và báo cáo với công ty. Tháng trước, Zoom đã vá cả hai lỗ hổng nghiêm trọng trong phiên bản 4.6.12 của phần mềm hội nghị video cho máy tính Windows, macOS hoặc Linux. Người dùng nên cài đặt ngay phiên bản mới để tránh gặp sự cố.
