Estas falhas podiam ambas ser exploradas via chat.
Os problemas são designados em cibersegurança por: path traversal. Essencialmente permitem que os atacantes consigam escrever ou colocar ficheiros arbitrários nos sistemas que estejam a correr versões vulneráveis do software, e dessa forma executarem código malicioso. Para que os atacantes consigam executar a falha, só precisam de enviar mensagens especialmente criadas através do chat para um indivíduo ou grupo.
O primeiro problema/vulnerablidade é dado pelo CVE-2020-6109, referente à forma como o Zoom utiliza o serviço GIPHY para permitir que os utilizadores procurem e troquem GIF's via chat. Os atacantes podiam enviar GIF's especiais, com servidores terceiros embutidos (e que estejam sob o seu controlo), e dessa forma o software ia armazenar a imagem no sistema numa pasta específica da aplicação. Consequentemente, ao falhar na validação do nome dos ficheiros, permitia o "atravessamento" de diretórios e, dessa forma, o atacante conseguia armazenar ficheiros maliciosos disfarçados de GIF's em qualquer local do sistema.
O segundo problema, designado pelo CVE-2020-6110, estava na forma como a aplicação processava snippets de código partilhados pelo chat. Descobriu-se que o software cria um arquivo zip com o snippet de código partilhado antes de o enviar, sendo depois desencriptado no sistema do recipiente. Ao não validar o conteúdo do zip antes de o extrair, permitia que o atacante pudesse colocar qualquer ficheiro no sistema.
Mais informações no blogue da Talos: https://blog.talosintelligence.com/2020/06/vuln-spotlight-zoom-code-execution-june-2020.html
Versão vulnerável:
4.6.10,
Versão corrigida:
4.6.12.
