Nuevo error de mistake solicita corrección de seguridad, cambios de plataforma



Una vulnerabilidad de Zoom recientemente descubierta habría permitido a un atacante unirse a reuniones activas y acceder a audio, movie y documentos compartidos.

CPX 360 – New Orleans, La. – Una vulnerabilidad previamente no revelada y ahora parcheada en la plataforma de conferencia Zoom podría haber permitido a los atacantes participar en reuniones activas al generar y verificar las ID de Zoom.
 
Los usuarios de Zoom saben que los ID de reunión únicos de la plataforma están formados por números de 9, 10 u 11 dígitos. Si los anfitriones no requieren una contraseña de conferencia ni habilitan la función de sala de espera, Zoom ID es el único component que protege las reuniones de los asistentes no autorizados. Los investigadores de Test Position descubrieron que era posible que un atacante generara identificadores de zoom potencialmente válidos y automatizara su verificación.
 
«El número debe compartirse en privado y debe ser que nadie pueda adivinarlo», dice el jefe de investigación cibernética de Check out Place, Yaniv Balmas. «Encontramos una vulnerabilidad en Zoom que nos permite decirnos si un número es un número de reunión en cuestión de minutos».
 
Los investigadores generaron previamente una lista de posibles ID de reuniones y prepararon una cadena de URL para unirse a una reunión. Cuando se ingresó la URL con un número de ID de reunión aleatorio, notaron que el cuerpo HTML de la respuesta devuelta indicaba «ID de reunión no válida» o «ID de reunión válida encontrada», dependiendo de si la ID estaba vinculada a una conferencia activa. La automatización de este enfoque les permitió determinar rápidamente números de identificación válidos y atender llamadas aleatorias en curso
 
«Aunque sabemos que el número es válido, no sabemos de quién será la conversación», señala Balmas. «Puedes llamarlo Ruleta Zoom».
 
Explotar esta vulnerabilidad podría otorgarle a un atacante los mismos privilegios que cualquier asistente de Zoom, lo que significa que tendría acceso a audio, video y documentos compartidos durante la llamada. Si bien el intruso no sería invisible, Balmas señala que no sería difícil pasar desapercibido.
 
«Para ser sincero, cuando tiene una reunión con 20 a 30 participantes, ¿se toma el tiempo para validar a todos y cada uno de los participantes en la reunión?» él pide. Los investigadores pudieron predecir correctamente aproximadamente el cuatro por ciento de las ID de reuniones generadas aleatoriamente, lo que consideran una alta probabilidad de éxito en comparación con la fuerza bruta pura.
 
Este no es un ataque basic, dice Balmas, pero un adversario intermedio podría llevarlo a cabo. Otras vulnerabilidades que el equipo de investigación descubre son típicamente más técnicas, explica. «No lo llamaría fácil, pero la barra es definitivamente más baja de lo que solemos hacer», agrega.
 
El equipo de Look at Point Analysis descubrió esta falla el año pasado y contactó a Zoom en julio de 2019. Después de un proceso de divulgación responsable, la compañía de comunicaciones lanzó una solución e introdujo varias mitigaciones en su plataforma, por lo que este tipo de ataque ya no es posible. El parche lanzado hoy debe implementarse manualmente.
 
Zoom agrega contraseñas de forma predeterminada a todas las reuniones programadas futuras. Los usuarios pueden agregar una contraseña a las reuniones que han programado Zoom está enviando instrucciones a los usuarios. El administrador de la cuenta puede aplicar la configuración de contraseña en los niveles de cuenta y grupo.
 
Además, Zoom ya no indicará automáticamente si una ID de reunión es válida o no válida de esta manera, un atacante no podría reducir el grupo de reuniones en un intento de unirse a una. Los intentos repetidos de escanear en busca de ID harán que el dispositivo se bloquee por un período de tiempo.

¿Quién está en la línea? Empujar agujeros en plataformas de conferencia
Esta es la última de una serie de vulnerabilidades descubiertas en plataformas de conferencias populares. A fines del año pasado, el Equipo de Investigación de Amenazas Primary de CQ reveló la falla «Prying-Eye», que existía en las herramientas de conferencia Zoom y Cisco Webex. Prying-Eye podría permitir a los atacantes buscar y participar en reuniones de movie sin protección mediante una contraseña.
 
Más recientemente, Cisco emitió un parche para CVE-2020-3142, una vulnerabilidad en los sitios world-wide-web de Cisco Webex Conferences Suite y Cisco Webex Meetings On the internet que permitiría a un asistente remoto no autenticado unirse a una reunión protegida por contraseña sin ingresar la contraseña. Un atacante podría explotar esto accediendo a una ID de reunión conocida o URL desde el navegador internet de un dispositivo móvil.
 
«Los chats de video son un vector de ataque muy válido», dice Balmas. «No me sorprendería si (los atacantes) intentan buscar más vulnerabilidades allí». Defectos como estos podrían otorgar acceso a intrusos a las reuniones de directores y otras llamadas donde los participantes discuten asuntos comerciales delicados.

Kelly Sheridan es la Editora de individual de Darkish Studying, donde se enfoca en noticias y análisis de seguridad cibernética. Ella es una periodista de tecnología de negocios que previamente reportó para InformationWeek, donde cubrió Microsoft, y Coverage & Technological know-how, donde cubrió asuntos financieros … Ver biografía completa

Más thoughts





Enlace a la noticia authentic