Descoberta uma falha do tipo zero-day no software de videoconferência Zoom para Windows. Esta falha permite que um invasor execute código arbitrário no computador da vítima executando o Microsoft 7 ou alguma versão anterior.

Zero-day é uma expressão constante quando se trata de vulnerabilidades em softwares, referem-se a brechas de segurança desconhecida do público e do próprio desenvolvedor do software. Isso significa que, a partir do momento em que a falha é detectada, o fabricante do software tem praticamente “zero dias” para produzir uma atualização que corrija o problema, impedindo a exploração de criminosos antes disso.

Para explorar com êxito a vulnerabilidade do Zoom, tudo o que um invasor precisa fazer é convencer um usuário do Zoom a executar algumas ações muito típicas, por exemplo: abrir um arquivo de documento recebido, nenhum aviso de segurança é acionado ou mostrado na tela do usuário no momento do ataque.

A vulnerabilidade foi encontrada por um pesquisador que a denunciou à Acros Security, empresa especializada em fornecer análises avançadas de segurança.

A acros secuirty então denunciou a falha à equipe de segurança do Zoom. O pesquisador prefere se manter anônimo.

Embora a falha esteja presente em todas as versões suportadas do cliente Zoom para Windows, ela só consegue ser explorada em sistemas que executam o Windows 7 ou sistemas Windows com uma versão anterior devido a algumas características específicas do sistema.

Segundo o pesquisador essa vulnerabilidade é provável que também seja explorável no Windows Server 2008 R2 e versões anteriores, embora não tenha testado isso.

A Microsoft já encerrou o suporte do Windows 7 em janeiro e incentiva os usuários a mudarem seus sistemas para versões mais seguras do sistema operacional, o Windows 7 ainda é amplamente utilizado por usuários e organizações em geral.

Os pesquisadores da Acros Security, desenvolveram um micro patch para todas as versões do Zoom Client para Windows para solucionar o problema de segurança e as liberou para todos de graça até que o Zoom forneça um patch de segurança oficial.

Quando um usuário ativa o patch em seu sistema, o código malicioso enviado por um invasor não é executado quando um usuário do Zoom clica no botão “Iniciar Vídeo”.

Até que a Zoom libere uma correção para o problema, os usuários podem parar temporariamente de usar o cliente Zoom nas versões mais antigas do Windows ou atualizar o SO para uma versão mais recente.

Os usuários também podem aplicar o patch lançado pela Acros Security, mas como é de uma empresa de software de terceiros e não o próprio fabricante, não seria muito recomendado.

Os usuários podem ajudar a manter a segurança, aplicando sempre as atualizações atuais ou baixando o software Zoom mais recente com todas as atualizações de segurança em https://zoom.us/download

Por: SecExperts

Fonte: TheHackerNews