Der Sicherheitsexperte und frühere NSA-Hacker Patrick Wardle hat in einem Blogeintrag zwei Sicherheitslücken in der Videokonferenz-Software Zoom veröffentlicht. Betroffen ist die Version der App für macOS. Ein lokaler Angreifer ist in der Lage, Root-Rechte auf einem Apple-Computer zu erhalten, um ohne Wissen des Nutzers Schadsoftware zu installieren, wie TechCrunch berichtet.
Wardle fand nun heraus, dass diese Technik auch dann noch funktioniert, wenn der Zoom-Installer manipuliert und mit Schadsoftware verseucht wurde. Ihm gelang es auf diese Art, die Rechte des aktuellen Benutzers auf Root zu erhöhen. Root-Rechte wiederum vereinfachen das Einschleusen von Spyware und anderer unerwünschter Software, ohne dass es der Benutzer des Systems erkennen kann.
Die zweite Schwachstelle steckt in der Funktion, mit der Zoom die Rechte für den Zugriff auf Mikrofon und Kamera einfordert. Wardle zufolge kann per Zoom Schadcode eingeschleust werden, der anschließend dieselben App-Berechtigungen hat wie Zoom. „Es werden keine weiteren Abfragen angezeigt und der eingeschleuste Code war in der Lage, Audio und Video aufzuzeichnen“, wird der Forscher in dem Bericht zitiert.
Bisher liegt laut TechCrunch kein Fix für die beiden Anfälligkeiten vor. Wardle rät von daher, zumindest vorübergehend von der Nutzung der Zoom-Software ab.
Ein Bericht von The Intercept stellt zudem die Behauptung von Zoom infrage, die Videokonferenz-Software biete eine Ende-zu-Ende-Verschlüsselung. Stattdessen soll der Dienst lediglich eine Transport-Verschlüsselung implementieren. Sie verhindert zwar unbefugte Zugriffe auf den Datenstrom auf dem Weg vom Client zum Server, auf seinen Servern würde Zoom in dem Fall jedoch Zugriff auf den unverschlüsselten Datenstrom haben.
Auch Nachfrage von The Intercept bestätigte Zoom, dass der Dienst derzeit keine Ende-zu-Ende-Verschlüsselung einsetzt – obwohl das Unternehmen auf seiner Website mit der Aussage „End-to-End-Verschlüsselung für alle Meetings“ wirbt. „Derzeit ist es nicht möglich, Ende-zu-Ende-Verschlüsselung für Meeting zu aktivieren“ teilte das Unternehmen mit. Ende-zu-Ende bedeute bei Zoom, dass die Verbindung von einem Zoom-Endpunkt zu einem anderem Zoom-Endpunkt verschlüsselt sei.
Bereits Anfang der Woche war ein Sicherheitsproblem des Windows-ClientsSicherheitsproblem des Windows-Clients für Zoom bekannt geworden. Die Software verfügt über eine Funktion, die UNC-Netzwerkpfade in anklickbare Links umwandelt. Da Windows auf einer solchen Link mit den Anmeldedaten das aktuellen Benutzers antwortet, ist ein Angreifer in der Lage, diese Anmeldedaten abzufangen und mit frei verfügbaren Tools das Windows-Passwort zu knacken.
In diesem Webinar stellen wir Ihnen SkySQL vor, erläutern die Architektur und gehen auf die Unterschiede zu anderen Systemen wie Amazon RDS ein. Darüber hinaus erhalten Sie einen Einblick in die Produkt-Roadmap, eine Live-Demo und erfahren, wie Sie SkySQL innerhalb von nur wenigen Minuten in Betrieb nehmen können.
Der Cybersecurity Report von Hornetsecurity stuft 2,3 Prozent der Inhalte gar als bösartig ein. Die…
Die Hintermänner haben es auf Zugangsdaten zu Microsoft Azure abgesehen. Die Kampagne ist bis mindestens…
Cloud-Plattform für elektronische Beschaffungsprozesse mit automatisierter Abwicklung elektronischer Rechnungen.
Mindestens eine Schwachstelle erlaubt eine Remotecodeausführung. Dem Entdecker zahlt Google eine besonders hohe Belohnung von…
Nur rund die Hälfte schaltet während der Feiertage komplett vom Job ab. Die anderen sind…
Security-Experten von Check Point sind einer neuen Angriffsart auf die Spur gekommen, die E-Mail-Schutzmaßnahmen umgehen…
