Zoom-sårbarhet utgitt som lar alle du chatter med stjele Windows-påloggingsinformasjonen din

Zoom har raskt, vel, zoomet frem under COVID-19-krisen som en brukervennlig videochatklient, og den brukes for tiden i de høyeste maktkorridorene, for eksempel av den britiske statsministeren og hans kabinett.

Dessverre har all hastverket og brukervennligheten gjort at klienten ikke er så robust mot hacking. Tidligere problemer har inkludert at ondsinnede nettsteder kan starte videosamtaler uten brukerinteraksjon og mangel på full kryptering av video.

En ny, lett å utnytte sårbarhet har blitt avslørt som betyr at hackere enkelt kan stjele Windows-brukernavnet og -passordet til deltakerne hvis de klikker på en ondsinnet lenke i chattevinduet.

Problemet er at Zoom automatisk konverterer lenker til klikkbare lenker, inkludert nettverksstier.

Når chat-deltakere klikker på disse koblingene, prøver Windows automatisk å logge på den nettverksandelen, og sender brukernavnet og NTLM-passord-hashen, som enkelt kan knekkes ved hjelp av gratisverktøy som Hashcat på sekunder.

Med Zoom-bombing som betyr at fremmede lett kan delta i store økter, kan problemet lett kompromittere noen svært viktige datamaskiner og nettverk.

Zoom, som har blitt informert om problemet, kan fikse problemet ved å ikke gjøre nettverksstier til klikkbare lenker, mens nettverksadministratorer i mellomtiden kan deaktivere automatisk sending av nettverkspåloggingsinformasjon via gruppepolicyen 'Nettverkssikkerhet: Begrens NTLM: Utgående NTLM-trafikk til eksterne servere, selv om dette kan forårsake problemer ved tilgang til ressurser på enkelte nettverk.

Hjemmebrukere kan endre  BegrensSendingNTLMTraffic Registerverdi under HKEY_LOCAL_MACHINE\ SYSTEM\CurrentControlSet\ Control\Lsa\MSV1_0 tasten og sett den til 2. De trenger ikke å starte på nytt.

Mens vi venter på en løsning, kan du lese mer om denne reduksjonen på BleepingComputer her.

Oppdater 1:

En annen Zoom-sikkerhetsfeil har blitt oppdaget. Zoom lekker e-postadresser, brukerbilder og lar noen brukere starte en videosamtale med fremmede. Dette er på grunn av hvordan appen håndterer kontakter som den oppfatter fungerer for samme organisasjon. Les om det i detalj her..

Oppdatering 2:

I løpet av de neste 90 dagene vil Zoom bruke alle ressursene sine for å bedre identifisere, adressere og fikse sikkerhets- og personvernproblemer proaktivt. Så Zoom vil ikke legge til noen nye funksjoner i løpet av de neste 3 månedene. Den vil også gjennomføre en omfattende gjennomgang med tredjepartseksperter og representative brukere for å forstå og sikre sikkerheten til tjenesten. Finn ut mer om denne kunngjøringen her..