Tenable ブログ
ブログ通知を受信する
ZoomのMac用クライアントにユーザーの許可なしに通話とウェブカメラが有効になってしまう脆弱性（CVE-2019-13450）が発見される
Zoomにゼロデイ脆弱性が発見されました。この脆弱性を突いてリモートでコードが実行される可能性があります。知っておくべき事柄は以下のとおりです。
背景
セキュリティ研究者のJonathan Leitschuhは、Mac用のZoomクライアントにおけるゼロデイを公開しました。この脆弱性を突くと、攻撃者はウェブカメラを有効にした状態でユーザーを強制的にZoom通話に参加させることができます。また、公開されたブログでは、この脆弱性がリモートコード実行攻撃（RCE）につながる可能性があると示唆しています。これは他の研究者により発見された可能性がありますが、まだ公開および確認されていません。この研究によると、MacにZoomクライアントがインストールされた場合、Webサーバーがポート19421で実行されます。
This Zoom vulnerability is bananas. I tried one of the proof of concept links and got connected to three other randos also freaking out about it in real time. https://t.co/w7JKHk8nZy pic.twitter.com/arOE6DbQaf
— Matt Haughey (@mathowie) July 9, 2019
分析
悪意のあるHTTP要求は、Zoom Macクライアントと共にインストールされたWebサーバーに送信され、被害者のウェブカメラを有効にした状態で、攻撃者とのビデオ通話を開始する可能性があります。ただし、これらの要求はユーザー設定を上書きすることはできません。そのため、ユーザーが自動ウェブカメラを無効にしている場合でも、通話に参加している可能性がありますが、ウェブカメラは有効になりません。また、研究者は、Tenableの研究者David Wellsにより発見されたZoomメッセージにおけるなりすましの脆弱性（CVE-2018-15715）をCVE-2019-13450CVE-2019-13450と組み合わせてRCE攻撃を実行する可能性があると述べています。
概念実証
アドバイザリブログには、次のコードが提供されています。攻撃者は、このコードを自らのサイトに埋め込み脆弱なユーザーとの通話を開始するおそれがあります。
And the following line enables the webcam for users with automatic video turned on:
ベンダー応答
Zoomは、開示に対する応答、および、今後の懸念を軽減し、ユーザーエクスペリエンスを向上するための追加情報を提供しました。また、Zoomは、研究者により報告されたサービス拒否（DoS）の脆弱性（CVE-2019-13449）は2019年5月（クライアントバージョン4.4.2）に修正されたことを指摘しています。
ソリューション
ZoomはMacクライアント（4.4.53932.0709）のアップデートをリリースしました。これによりWebサーバーが削除され、ユーザーはクライアントからZoomを完全にアンインストールすることができます。更新プログラムは、Zoomクライアントから適用できます。または、こちらから手動でダウンロードできます。また、Zoomは、来週末（7月12日）には更なる最新情報を提供する予定であると述べています。
ユーザーは、次のようにZoomのユーザー設定で自動ビデオを無効にすることができます。
画像出典: Jonathan Leitschuh
影響を受けているシステムの特定
この脆弱性を特定するための Nessus プラグイン一覧は、リリースされる度にこちらに表示されます。
詳細情報
Tenable コミュニティの Tenable セキュリティレスポンスチームに参加してみませんか。
最新のアタックサーフェスを総合的に管理する初のサイバーエクスポージャープラットフォーム、Tenable の詳細情報をご覧ください。Tenable.io60日間無料トライルを入手する。
関連記事
Detecting Risky Third-party Drivers on Windows Assets
August 7, 2024Kernel-mode drivers are critical yet risky components of the Windows operating system. Learn about their functionality, the dangers they pose, and how Tenable's new plugins can help identify and mitigate vulnerabilities using community-driven resources like LOLDrivers.
Never Trust User Inputs -- And AI Isn't an Exception: A Security-First Approach
August 6, 2024As AI transforms industries, security remains critical. Discover the importance of a security-first approach in AI development, the risks of open-source tools, and how Tenable's solutions can help protect your systems.
EPSS Shows Strong Performance in Predicting Exploits, Says Study from Cyentia and FIRST
July 30, 2024Tenable sponsored research from Cyentia and FIRST, which finds that while vulnerability exploitation is highly variable, EPSS is getting stronger in its ability to predict exploitation.
CVE-2024-7593: Ivanti Virtual Traffic Manager Authentication Bypass Vulnerability
August 14, 2024Ivanti released a patch for a critical severity authentication bypass vulnerability and a warning that exploit code is publicly available
Microsoft’s August 2024 Patch Tuesday Addresses 88 CVEs
August 13, 2024Microsoft addresses 88 CVEs with seven critical vulnerabilities and 10 zero-day vulnerabilities, six of which were exploited in the wild.
Compromising Microsoft's AI Healthcare Chatbot Service
August 13, 2024Tenable Research discovered multiple privilege-escalation issues in the Azure Health Bot Service via a server-side request forgery (SSRF), which allowed researchers access to cross-tenant resources.
- Threat Intelligence
- Threat Management
- Vulnerability Management
- Vulnerability Scanning