Zoomsårbarhet släppt som gör att alla du chattar med kan stjäla dina Windows-inloggningsuppgifter

Zoom har snabbt, ja, zoomat till framträdande plats under covid-19-krisen som en lättanvänd videochattklient, och den används för närvarande i de högsta maktkorridorerna, till exempel av den brittiska premiärministern och hans kabinett.

Tyvärr har all den brådska och användarvänlighet inneburit att klienten inte är så robust mot hackning. Tidigare problem har inkluderat skadliga webbplatser som kan starta videosamtal utan användarinteraktion och avsaknaden av fullständig kryptering av video.

En ny sårbarhet som är lätt att exploatera har avslöjats vilket innebär att hackare enkelt kan stjäla Windows användarnamn och lösenord för deltagare om de klickar på en skadlig länk i chattfönstret.

Problemet är att Zoom automatiskt konverterar länkar till klickbara länkar, inklusive nätverksvägar.

När chattdeltagare klickar på dessa länkar försöker Windows automatiskt logga in på den nätverksresursen och skickar ditt användarnamn och NTLM-lösenordshash, som enkelt kan knäckas med gratisverktyg som Hashcat på några sekunder.

Med Zoom-bombning som innebär att främlingar lätt kan gå med i stora sessioner, kan problemet lätt äventyra några mycket viktiga datorer och nätverk.

Zoom, som har informerats om problemet, kan åtgärda problemet genom att inte göra nätverksvägar till klickbara länkar, medan nätverksadministratörer under tiden kan inaktivera automatisk sändning av nätverksinloggningsuppgifter via grupppolicyn 'Nätverkssäkerhet: Begränsa NTLM: Utgående NTLM-trafik till fjärrservrar, även om detta kan orsaka problem vid åtkomst till resurser på vissa nätverk.

Hemanvändare kan ändra  RestrictSendingNTLMTraffic Registervärde under HKEY_LOCAL_MACHINE\ SYSTEM\CurrentControlSet\ Control\Lsa\MSV1_0 nyckel och ställ in den på 2. De behöver inte starta om.

Medan vi väntar på en åtgärd, läs mer om denna begränsning på BleepingComputer här.

Uppdatering 1:

Ytterligare ett säkerhetsfel i Zoom har upptäckts. Zoom läcker e-postadresser, användarfoton och tillåter vissa användare att initiera ett videosamtal med främlingar. Detta beror på hur appen hanterar kontakter som den uppfattar fungera för samma organisation. Läs om det i detalj här..

Uppdatering 2:

Under de kommande 90 dagarna kommer Zoom att använda alla sina resurser för att bättre identifiera, åtgärda och åtgärda säkerhets- och integritetsproblem proaktivt. Så Zoom kommer inte att lägga till några nya funktioner under de kommande tre månaderna. Den kommer också att genomföra en omfattande granskning med tredjepartsexperter och representativa användare för att förstå och säkerställa säkerheten för dess tjänst. Läs mer om detta tillkännagivande här..