La popular plataforma de videoconferencia Zoom ha vuelto a aparecer en las noticias debido a problemas de seguridad consecutivos.La semana pasada, se debió a una vulnerabilidad de ejecución remota de código que afectaba la versión de Windows. Justo después de parchearlo, apareció otra vulnerabilidad que afecta a la función URL de Zoom Vanity.
Zoom Vanity URL Zero Day
Investigadores de Check Point Research han descubierto una falla de día cero que afecta al cliente Zoom.La vulnerabilidad afectó a la función Vanity URL de Zoom. Los investigadores han compartido los detalles de la falla en una publicación reciente .
En pocas palabras, Vanity URL es una función que permite a los clientes de Zoom crear URL personalizadas. Por ejemplo, las empresas pueden crear URL con los nombres de sus empresas. Como explicó Zoom en su página de soporte, “Una URL personalizada es una URL personalizada para su empresa, como yourcompany.zoom.us. Esta URL personalizada es necesaria para la configuración si tiene la intención de activar SSO (inicio de sesión único). Opcionalmente, también puede marcar esta página personalizada para tener un logotipo / marca personalizada, pero generalmente sus usuarios finales no escriben para acceder directamente a esta página personalizada. Sus usuarios finales hacen clic en un enlace para unirse a una reunión”.
Si bien la función es útil, también fue muy trivial para un adversario explotarla con fines maliciosos. Específicamente, un atacante podría agregar cualquier subdominio a la URL personalizada para cambiar el enlace. Por ejemplo, podrían cambiar un enlace que aparece como https: // zoom [.] Us / j / 7470812100 a https: // [.] Zoom [.] Us / j / 7470812100.
O bien, el atacante podría hacer pequeños cambios en la URL, como cambiar el / j / a / s /, que un usuario promedio no adivinaría.
Después de este descubrimiento, los investigadores se acercaron a Zoom, quien luego solucionó la falla después del informe. Además, en su declaración a Threatpost, un portavoz de Zoom instó a los usuarios a mantenerse atentos.
“Zoom alienta a sus usuarios a revisar minuciosamente los detalles de cualquier reunión a la que planeen asistir antes de unirse, y a unirse solo a las reuniones de los usuarios en quienes confían”.
Zoom Windows RCE Defecto
Hace aproximadamente una semana, los investigadores de 0patch encontraron vulnerabilidad de ejecución remota de código en Zoom Client para Windows. Si bien no compartieron muchos detalles sobre el error de día cero, demostraron la vulnerabilidad en el siguiente video.
Después de su informe, Zoom parchó la vulnerabilidad en un día con el lanzamiento de la versión 5.1.3. Entonces, ahora que ambos errores están solucionados, todos los usuarios de Zoom deben asegurarse de actualizar sus dispositivos a la última versión.
