به گزارش کارگروه امنیت سایبربان؛ محققین امنیتی توانسته اند آسیب پذیری روز صفری را در برنامه محبوب زوم شناسایی کنند. این آسیب پذیری می توانند در جهت اجرای حملات RCE مورد استفاده قرار بگیرند.
RCE به معنای اجرای کد از راه دور است که به نفوذگر این اجازه را می دهد تا کدهای خود را در وب اپلیکیشن اجرا کند.
Pwn2Own نام مسابقه ای است که متخصصین کلاه سفید حوزه امنیت سایبری در آن برای یافتن آسیب پذیری در نرم افزارهای محبوب دنیا به رقابت می پردازند.
شرکت کنندگان در حوزه های مختلفی مانند مروگرهای وب، مجازی سازی نرم افزار و سرورها با یکدیگر به رقابت پرداختند.
جوایز نقدی با ارزشی نیز برای شرکت کنندگان موفق در نظر گرفته شده است. به عنوان مثال Daan Keuper و Thij Alkemade
به دلیل شناسایی آسیب پذیری مذکور در زوم، موفق به دریافت 200 هزار دلار شدند. این دو محقق شرکت Computest هلند زنجیره حملات حاصل از سه باگ را شناسایی کردند که به هدف قرار گرفتن ماشین مدنظر محققین از طریق RCE منتهی می شد.
لازم به ذکر است کاربر هیچ نوع نقشی را در این حملات ایفا نمی کند.
به دلیل عدم انتشار به روز رسانی امنیتی توسط زوم، جزئیات فنی این آسیب همچنان در حال بررسی است. طبق گفته Malwarebytes، این حمله بر روی هر دو نسخه ویندوز و مک زوم قابل اجرا می باشد اما همچنان در اندروید و iOS تست نشده است.
زوم ضمن تشکر از این محققین، از همکاری با آن ها در جهت بهبود اوضاع خبر داد.
طبق گفته زوم، این حمله احتمالا به دلیل پذیرفتن مخاطبین بیرونی به وقوع پیوسته است. این برنامه کنفرانس ویدیویی معتقد است بهترین راهکار مقابله با این مشکلات، قبول مخاطبین قابل اعتماد می باشد.
شرکت های مورد هدف قرار گرفته تا 90 روز فرصت دارند تا آسیب پذیری های شناسایی شده را از بین ببرند.
دیگر حملات مشهور شناسایی شده در این مسابقه عبارتند از:
- Apple Safari: توسط Jack Dates، 100هزار دلار
- Microsoft Exchange: توسط DEVCORE، 200 هزار دلار
- Microsoft Teams: توسط OV، 200 هزار دلار
- Ubuntu Desktop: توسط Ryota Shiga، 30 هزار دلار
