Sicherheitsforscher veröffentlicht weitere Zero-Day-Lücke im Zoom-Client

Der Sicherheitsexperte und frühere NSA-Hacker Patrick Wardle hat in einem Blogeintrag zwei Sicherheitslücken in der Videokonferenz-Software Zoom veröffentlicht. Betroffen ist die Version der App für macOS. Ein lokaler Angreifer ist in der Lage, Root-Rechte auf einem Apple-Computer zu erhalten, um ohne Wissen des Nutzers Schadsoftware zu installieren, wie TechCrunch berichtet.

Der erste Bug basiert auf einer Analyse des deutschen Sicherheitsforschers Felix Seele, Technical Lead bei Vmray. Er stellte fest, dass der Mac-Installer des Zoom-Clients die für macOS übliche Installationsroutine umgeht, um sich ohne weitere Interaktion mit einem Nutzer auf einem System einzurichten – was allerdings nur funktionieren soll, wenn der angemeldete Benutzer der Gruppe der Administratoren angehört.

Wardle fand nun heraus, dass diese Technik auch dann noch funktioniert, wenn der Zoom-Installer manipuliert und mit Schadsoftware verseucht wurde. Ihm gelang es auf diese Art, die Rechte des aktuellen Benutzers auf Root zu erhöhen. Root-Rechte wiederum vereinfachen das Einschleusen von Spyware und anderer unerwünschter Software, ohne dass es der Benutzer des Systems erkennen kann.

Die zweite Schwachstelle steckt in der Funktion, mit der Zoom die Rechte für den Zugriff auf Mikrofon und Kamera einfordert. Wardle zufolge kann per Zoom Schadcode eingeschleust werden, der anschließend dieselben App-Berechtigungen hat wie Zoom. „Es werden keine weiteren Abfragen angezeigt und der eingeschleuste Code war in der Lage, Audio und Video aufzuzeichnen“, wird der Forscher in dem Bericht zitiert.

Bisher liegt laut TechCrunch kein Fix für die beiden Anfälligkeiten vor. Wardle rät von daher, zumindest vorübergehend von der Nutzung der Zoom-Software ab.

Ein Bericht von The Intercept stellt zudem die Behauptung von Zoom infrage, die Videokonferenz-Software biete eine Ende-zu-Ende-Verschlüsselung. Stattdessen soll der Dienst lediglich eine Transport-Verschlüsselung implementieren. Sie verhindert zwar unbefugte Zugriffe auf den Datenstrom auf dem Weg vom Client zum Server, auf seinen Servern würde Zoom in dem Fall jedoch Zugriff auf den unverschlüsselten Datenstrom haben.

Auch Nachfrage von The Intercept bestätigte Zoom, dass der Dienst derzeit keine Ende-zu-Ende-Verschlüsselung einsetzt – obwohl das Unternehmen auf seiner Website mit der Aussage „End-to-End-Verschlüsselung für alle Meetings“ wirbt. „Derzeit ist es nicht möglich, Ende-zu-Ende-Verschlüsselung für Meeting zu aktivieren“ teilte das Unternehmen mit. Ende-zu-Ende bedeute bei Zoom, dass die Verbindung von einem Zoom-Endpunkt zu einem anderem Zoom-Endpunkt verschlüsselt sei.

Bereits Anfang der Woche war ein Sicherheitsproblem des Windows-ClientsSicherheitsproblem des Windows-Clients für Zoom bekannt geworden. Die Software verfügt über eine Funktion, die UNC-Netzwerkpfade in anklickbare Links umwandelt. Da Windows auf einer solchen Link mit den Anmeldedaten das aktuellen Benutzers antwortet, ist ein Angreifer in der Lage, diese Anmeldedaten abzufangen und mit frei verfügbaren Tools das Windows-Passwort zu knacken.