Security Week 2222: уязвимость в приложении Zoom
На прошлой неделе разработчики клиента для веб-конференций Zoom закрыли серьезную уязвимость, которая при некоторых обстоятельствах могла приводить к выполнению произвольного кода. Уязвимость получила идентификатор CVE-2022-22787, ее особенности кратко описаны в статье издания The Register и в бюллетене компании Zoom. Обнаружил проблему эксперт из команды Google Project Zero, и вот их подробный отчет представляет большой интерес.
Исследователь Иван Фратрич (Ivan Fratric) по сути смог построить атаку на далеко не самой очевидной основе. Для пересылки сообщений в Zoom используется собственная реализация открытого протокола XMPP. Проблема заключалась в том, что код, отвечающий за разбор содержимого сообщений в формате XML, различается на сервере и на клиенте. Минимальные различия в парсинге удалось превратить в полноценную атаку, которая при этом не требует никаких действий от жертвы, если передача сообщений от атакующего в принципе разрешена.
Читать далееИсточник: Хабрахабр
Похожие новости
- Автоматизация против клиента: как рекламные звонки вредят людям и брендам
- Большой обзор рекламных форматов и лучших практик в 2025 году
- А был ли патчик? Как долго живут уязвимости в Рунете
- ИИ атакует, ИИ защищает: как использовать нейросети в ИБ
- Ginс Radar: Ginc Radar: как не утонуть в своём IT-стеке
- Разбор заданий AI CTF на Positive Hack Days Fest. Часть 2
- ИИ-агенты и удостоверение персональных данных
- Представляем «Динамическое SEO» — новый тип проектов в PromoPult
- [Перевод] Анализ активности пользователей Windows
- ВПО DarkWatchman: SFX-архивы, XOR-шифрование и алгоритм генерации доменов