Em uma ação para proteger seus usuários, o Zoom corrigiu recentemente seis vulnerabilidades em sua plataforma de videoconferência e comunicação, duas das quais consideradas de alta gravidade. As falhas mais sérias, identificadas como CVE-2024-45421 e CVE-2024-45419, permitiam que invasores remotos executassem escaladas de privilégios e vazassem informações confidenciais sem autorização.
Zoom resolve vulnerabilidades críticas que colocavam segurança dos usuários em risco
A falha CVE-2024-45421, com pontuação CVSS de 8,5, representa um problema de estouro de buffer. Nesse caso, um invasor autenticado poderia aproveitar a vulnerabilidade para obter privilégios elevados por meio do acesso à rede, comprometendo a segurança de informações internas.
Outro problema grave é a CVE-2024-45419, também com pontuação CVSS de 8,5. Essa vulnerabilidade resulta de uma validação inadequada de entradas, permitindo que um invasor sem autenticação explore o erro para acessar dados confidenciais remotamente. Ambas as falhas foram identificadas pela equipe de Segurança Ofensiva do Zoom e afetam várias versões do aplicativo, incluindo o Zoom Workplace, Rooms Client, Rooms Controller, Video SDK, Meeting SDK, e o Workplace VDI Client para Windows.
Notícias Relacionadas
Vulnerabilidade crítica
Cisco alerta sobre exploração de vulnerabilidade antiga do ASA WebVPN
Cisco alerta sobre a exploração ativa de uma falha de segurança de longa data, CVE-2014-2120, no ASA WebVPN. A vulnerabilidade, que permite ataques XSS, foi recentemente revisitada por cibercriminosos e está sendo explorada por botnets como o AndroxGh0st.
Vulnerabilidades críticas
NachoVPN explora vulnerabilidades graves em clientes VPN populares
Pesquisadores de segurança identificam falhas críticas em clientes VPN da Palo Alto Networks e SonicWall, com risco de execução remota de código em sistemas Windows e macOS. Saiba mais sobre a ferramenta NachoVPN.
Vulnerabilidades de gravidade média
Além dos problemas críticos, o Zoom também corrigiu quatro falhas de gravidade média, que poderiam causar condições de negação de serviço e exposição de dados. Dentre essas falhas:
- CVE-2024-45422: falha de validação de entrada imprópria, presente em versões anteriores à 6.2.0. Essa vulnerabilidade poderia ser explorada para provocar uma negação de serviço.
- CVE-2024-45420: consumo descontrolado de recursos, identificado em versões anteriores à 6.2.0. Invasores autenticados poderiam aproveitar essa falha para gerar condições de negação de serviço.
- CVE-2024-45418: uma vulnerabilidade de Link Simbólico no instalador de aplicativos Zoom para macOS, antes da versão 6.1.5, poderia permitir que usuários autenticados executassem uma escalada de privilégios.
- CVE-2024-45417: consumo descontrolado de recursos no instalador do Zoom para macOS, também anterior à versão 6.1.5, com potencial para permitir a divulgação de informações a partir de acesso local privilegiado.
Recomendações para os usuários
Para garantir a segurança dos dados e evitar a exploração dessas vulnerabilidades, é recomendável que os usuários do Zoom atualizem para as versões mais recentes dos aplicativos, especialmente aqueles que utilizam o Zoom Workplace e suas variantes no desktop e mobile.
