黑客可利用Zoom 新漏洞执行任意代码
编译：代码卫士
这四个漏洞的编号是CVE-2022-22784至CVE-2022-22787，评分介于5.9和8.1之间。谷歌Project Zero 团队的研究员 Ivan Fratric 在2022年2月发现并报告了这些漏洞。
这四个漏洞概述如下：
CVE-2022-22784 (CVSS 评分：8.1) - Improper XML Parsing in Zoom Client for Meetings
CVE-2022-22785 (CVSS 评分：5.9) – Zoom 会议客户端中的限制不当会话 cookie
CVE-2022-22786 (CVSS 评分：7.5) – Windows 版本Zoom 会议客户端中的更新包降级
CVE-2022-22787 (CVSS 评分：5.9) – Zoom 会议客户端服务器交换过程中的主机名验证不充分
Zoom 的聊天功能依据XMPP标准而构建，成功利用这些漏洞可导致攻击者强迫易受攻击的客户端伪装为 Zoom 用户，连接到恶意服务器，甚至下载恶意更新，从而导致降级攻击，执行任意代码。
Fratric 将这种零点击攻击序列称为 “XMPP 节走私”，表示“一名用户可能欺骗信息源自另外一名用户”，“攻击者可发送控制信息，而这些信息会被当作源自服务器而被接收。”
这些问题的核心在于，它们利用解析 Zoom 客户端中XML解析器和服务器之间的不一致性将任意XMPP 节（即 stanza：XMPP 中的基本通信单元）“走私” 到受害者客户端。
具体而言，该利用链可用于劫持软件更新机制并使客户端连接到中间人服务器，而这些服务器为老旧的安全性低的Zoom客户端服务。
虽然降级攻击并不影响Zoom 的 Windows 版本，但CVE-2022-22784、CVE-2022-22785和CVE-2022-22787影响安卓、iOS、Linux、macOS 和 Windows 版本。
距离Zoom 修复两个高危漏洞（CVE-2022-22782和CVE-2022-22783）不到一个月的时间后，这些漏洞的补丁已发布。另外还修复了Zoom macOS app 的另外一个降级攻击实例 (CVE-2022-22781)。
建议用户更新至最新版本5.10.0，缓解因利用这些漏洞带来的潜在威胁。
Zoom 5.1.2及旧版本在 Win7 上的 DLL 劫持漏洞分析
网红视频会议应用 Zoom 被指“像吸血鬼一样靠收割个人数据敛财”
Zoom 视频会议 app 被曝严重漏洞，75万家企业或受影响
https://thehackernews.com/2022/05/new-zoom-flaws-could-let-attackers-hack.html
题图：Pixabay License
本文由奇安信编译，不代表奇安信观点。转载请注明“转自奇安信代码卫士 https://codesafe.qianxin.com”。
奇安信代码卫士 (codesafe)
国内首个专注于软件开发安全的产品线。