Zoom risolve il bug consentendo agli aggressori di decifrare le password delle riunioni private

Come ha scoperto il prodotto VP di SearchPoint, Tom Anthony ha scoperto che la mancanza di un limite di velocità per i ripetuti tentativi di password ha consentito agli aggressori di violare la password numerica utilizzata per proteggere le riunioni private di Zoom.

Anthony ha scoperto, “Le riunioni di Zoom sono (erano) protette per impostazione predefinita da una password numerica di 6 cifre, ovvero 1 milione di password massime”.

Ha individuato la vulnerabilità nel client Web Zoom che ha permesso agli aggressori di indovinare la password di qualsiasi riunione provando tutte le possibili combinazioni fino a trovare quella vera.

Dice: “Ciò consente a un utente malintenzionato di provare tutte le 1 milione di password in pochi minuti e di accedere alle riunioni Zoom private (protette da password) di altre persone. Ciò solleva anche la preoccupante domanda a se altri stessero già utilizzando questa vulnerabilità per ascoltare la chiamata di altre persone. “

Gli aggressori non hanno bisogno di tempo per decifrare le password in quanto non potrebbero dover passare attraverso l’intero elenco di 1 milione di password possibili. Dato che le riunioni ricorrenti, inclusi i PMI, hanno sempre la stessa password, tutto ciò di cui gli aggressori hanno bisogno è romperle una volta e ottenere un accesso permanente alle sessioni future.

Anthony è riuscito a dimostrare di riuscire a decifrare la password di una riunione entro 25 minuti dopo aver controllato 91.000 password utilizzando una macchina AWS. Ha aggiunto: “Con il threading migliorato e la distribuzione su 4-5 server cloud, è possibile controllare l’intero spazio delle password in pochi minuti.”

Anthony ha segnalato all’azienda il problema del client Web il 1 ° aprile 2020 insieme alla dimostrazione di pitone per mostrare come gli aggressori potrebbero forzare la loro strada verso qualsiasi riunione di protezione della password. Dopo il rapporto, la società ha rimosso il client Web per risolvere la vulnerabilità. Il giorno successivo, la società ha aggiunto un rapporto sugli incidenti nella sua pagina di stato ufficiale in cui si diceva “Zoom imposterà il client Web in modalità di manutenzione e porterà offline questa parte del servizio”.

Entro una settimana, Zoom ha risolto il problema relativo alla limitazione della percentuale di tentativi di password “richiedendo a un utente di accedere alle riunioni nel client Web e aggiornando le password delle riunioni predefinite in modo che non fossero più numeriche e più lunghe”.

Dopo aver appreso di questo problema il 1 ° aprile, abbiamo immediatamente rimosso il client web Zoom per garantire la sicurezza dei nostri utenti mentre implementavamo le mitigazioni. Da allora abbiamo migliorato la limitazione delle tariffe, affrontato i problemi relativi ai token CSRF e riavviato il client Web il 9 aprile. Con queste correzioni, il problema è stato completamente risolto e non è stata richiesta alcuna azione da parte dell’utente. Non siamo a conoscenza di casi di questo exploit utilizzati in natura. Ringraziamo Tom Anthony per aver portato questo problema alla nostra attenzione. Se ritieni di aver riscontrato un problema di sicurezza con i prodotti Zoom, invia un rapporto dettagliato a [email protected] – Ingrandisci