פורסמה פגיעות זום המאפשרת לכל מי שאתה צ'אט איתו לגנוב את אישורי הכניסה שלך ל-Windows

זום הגיעה במהירות, ובכן, לגדולה במהלך משבר ה-COVID-19 כלקוח וידאו צ'אט קל לשימוש, וכרגע הוא נמצא בשימוש במסדרונות הכוח הגבוהים ביותר, כגון ראש הממשלה הבריטי והקבינט שלו.

למרבה הצער, כל החיפזון וקלות השימוש גרמו לכך שהלקוח לא כל כך חזק בפני פריצה. בעיות קודמות כללו את האפשרות של אתרים זדוניים להתחיל שיחות וידאו ללא אינטראקציה של המשתמש והעדר הצפנה מלאה של וידאו.

נחשפה פגיעות חדשה, קלה לניצול, מה שאומר שהאקרים יכולים לגנוב בקלות את שם המשתמש והסיסמה של Windows של המשתתפים אם הם לוחצים על קישור זדוני בחלון הצ'אט.

הבעיה היא ש-Zoom ממירה אוטומטית קישורים לקישורים ניתנים ללחיצה, כולל נתיבי רשת.

כאשר משתתפי הצ'אט לוחצים על הקישורים הללו, Windows מנסה אוטומטית להיכנס לשיתוף הרשת הזה, שולחת את שם המשתמש ואת ה-hash של סיסמת ה-NTLM שלך, שניתן לפצח בקלות באמצעות כלים חינמיים כמו Hashcat תוך שניות.

עם הפצצת זום כלומר שזרים יכולים להצטרף בקלות להפעלות גדולות, הבעיה עלולה בקלות לסכן כמה מחשבים ורשתות חשובות מאוד.

זום, שקיבל מידע על הבעיה, יכול לתקן את הבעיה על ידי אי הפיכת נתיבי רשת לקישורים ניתנים ללחיצה, בעוד שמנהלי רשת יכולים בינתיים להשבית את השליחה האוטומטית של אישורי התחברות לרשת באמצעות המדיניות הקבוצתית 'אבטחת רשת: הגבל NTLM: תעבורת NTLM יוצאת לשרתים מרוחקים', אם כי זה יכול לגרום לבעיות בעת גישה למשאבים ברשתות מסוימות.

משתמשים ביתיים יכולים לשנות את  RestrictSendingNTLMTraffic ערך הרישום תחת ה HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Lsa\MSV1_0 מקש והגדר אותו ל 2. הם לא צריכים לאתחל.

בזמן שאנו ממתינים לתיקון, קרא עוד על הפחתה זו ב- BleepingComputer כאן.

עדכון 1:

ליקוי אבטחה נוסף של זום התגלה. זום מדליף כתובות אימייל, תמונות משתמשים ומאפשר לחלק מהמשתמשים ליזום שיחת וידאו עם זרים. זה נובע מהאופן שבו האפליקציה מטפלת באנשי קשר שהיא תופסת עובדים עבור אותו ארגון. קרא על זה בפירוט כאן.

עדכון 2:

במהלך 90 הימים הקרובים, זום תשתמש בכל המשאבים שלה כדי לזהות, לטפל ולתקן טוב יותר בעיות אבטחה ופרטיות באופן יזום. לכן, זום לא יוסיף תכונות חדשות בשלושת החודשים הבאים. היא גם תערוך סקירה מקיפה עם מומחי צד שלישי ומשתמשים מייצגים כדי להבין ולהבטיח את אבטחת השירות שלה. למידע נוסף על הכרזה זו כאן.