Apple推送更新徹底移隱Zoom隱藏伺服器 堵塞騎劫網絡攝影機漏洞

Mac 平台上的網上視像會議軟件服務 Zoom 於較早前被發現存在嚴重安全漏洞,在被傳媒廣泛報導後終於推出緊急補丁,然而不徹底的補丁似乎未能滿足 Apple,於是 Apple 默不作聲的情況下推出更新,直接替用戶移除漏洞中的隱藏伺服器。

騎劫網絡攝影機,移除程式也能夠復原!
Zoom 是 Mac 平台上的網絡及視像會議服務,在較早前被發現零時差漏洞 (CVE-2019-13450),黑客不但可以沒有授權的情況下騎劫用戶的網絡攝影機,而最危險是即使用戶已經移除 Zoom,仍然能夠透過隱藏的 localhost web 伺服器恢復該電腦的服務,因為移除程式時並沒有移除該伺服器,黑客能夠透過它重新把 Zoom 安裝在受害者的裝置上,過程除了瀏覽某網頁之外無需用戶互動,令這漏洞更加危險。

研究人員透露,用戶只要瀏覽一個嵌入特製 iFrame 的惡意網站,就會在用戶開啟攝影機時自己啟動進入 Zoom 的網絡會議。

Apple 推送更新撤底移除漏洞根源
這次 Apple 的更新是自動推送給用戶,無需用戶任何動作,自動移除 Zoom 的隱藏伺服器,徹底地消滅漏洞的根源。然而 Apple 這個舉動,似乎是出於對 Zoom 所採取的補救行動有所不滿,在本星期初,Zoom 已經緊急推出修正檔去移除該網絡伺服器,並且容許用戶手動完全移除 Zoom。不過該修正工作是由於研究人員公開漏洞,傳媒廣泛關注後的結果,而該修正也並不完整,顯示 Zoom 方面在解決問題時進度緩慢。

Zoom 在 7 月 12 日將會進一進更新,解決用戶預設啟動視像的憂慮,根據公佈,首次使用的用戶只要點選「always turn off my video」就會自動儲存為他們的視像設定。Zoom 現時大約有 400 萬名 Mac 用戶,Apple 認真處理也在所難免。

資料料來源:Threat Post

Comments are closed