Mới đây, các nhà nghiên cứu bảo mật của Cisco Talos đã phát hiện ra 2 lỗ hổng bảo mật nghiêm trọng trên ứng dụng Zoom. Những lỗ hổng này cho phép tin tặc tấn công và xâm nhập vào máy tính của những người tham gia cuộc trò chuyện nhóm. Sau khi xâm nhập, tin tặc có thể cài đặt, chạy mã độc trên máy của người dùng Zoom.
Để tránh bị ảnh hưởng bởi 2 lỗ hổng kể trên, các chuyên gia bảo mật khuyến cáo người dùng Zoom nên cập nhật phiên bản mới nhất của ứng dụng này. Zoom hiện đang là một trong những phần mềm được ưa thích cho việc họp và học trực tuyến.
Theo các nhà nghiên cứu, để khai thác thành công lỗ hổng này, tin tặc không cần tới sự tương tác của nạn nhân. Thay vào đó, chúng chỉ cần gửi trực tiếp tới nạn nhân hoặc nhóm nạn nhân những tin nhắn được thiết kế đặc biệt.
Lỗ hổng đầu tiên (CVE-2020-6109) nằm trong cách Zoom tận dụng dịch vụ GIPHY, cho phép người dùng tìm kiếm và gửi ảnh GIF khi trò chuyện. Các nhà nghiên cứu phát hiện ra rằng Zoom không kiểm tra xem ảnh GIF có thực sự được tải từ GIPHY hay không. Điều này cho phép tin tặc nhúng vào hệ thống những bức ảnh GIF từ các máy chủ bên thứ ba do chúng kiểm soát.
Những bức ảnh GIF này được thiết kế để chứa phần mềm độc hại và mã thực thi để lừa người dùng lưu chúng vào các thư mục cụ thể. Hơn nữa, Zoom không có cơ chế làm sạch tên tệp nên tin tặc có thể dễ dàng thiết lập để lưu mã độc ngụy trang dưới dạng ảnh GIF vào thư mục hệ thống trên máy của nạn nhân.
Lỗ hổng thứ hai (CVE-2020-6110) nằm ở cách phiên bản cũ của Zoom xử lý các đoạn mã nổi bật được chia sẻ trong tin nhắn. “Chức năng trò chuyện của Zoom được xây dựng trên tiêu chuẩn XMPP với các tiện ích bổ sung nhằm cung cấp trải nghiệm phong phú cho người dùng. Một trong những phần mở rộng cho phép thêm vào các đoạn mã nổi bật trong cuộc trò chuyện. Tính năng này yêu cầu người gửi cài plugin bổ sung nhưng phía người nhận lại không cần cài”, các nhà nghiên cứu chia sẻ.
Trước khi gửi đi, tính năng này tạo ra một tập tin zip của đoạn mã nổi bật sau đó tự giải nén trên máy của người nhận. Zoom không xác thực nội dung của tập tin zip trước khi giải nén nên tin tặc có thể tạo ra các tập tin tùy ý để gửi tới máy tính của mục tiêu. Thậm chí, lỗ hổng này còn cho phép tin tặc giải nén tập tin zip tại các thư mục khác trên máy tính của mục tiêu.
Hai lỗ hổng này xuất hiện trên phiên bản Zoom 4.6.10 trở về trước. Nhận được cảnh báo từ các nhà nghiên cứu của Cisco Talos, hiện Zoom đã phát hành phiên bản 4.6.12 cho Windows, macOS và Linux để khắc phục các lỗ hổng kể trên.