疫情期間，全球很多企業都在使用Zoom視訊會議軟體，同時也被黑客盯上了，如果您正在使用Zoom（尤其是在這個充滿挑戰的時期内，以應付您的上學，業務或社交活動），請確定在Windows，macOS或Linux計算機上運作流行的視訊會議軟體的最新版本。
這并不是最期待的“真實”端到端加密功能的到來，根據最新消息，該功能顯然僅對付費使用者可用。相反，此最新警告是有關兩個新發現的嚴重漏洞的。
國内知名網絡黑客安全組織東方聯盟研究人員今天揭曉，它在Zoom軟體中發現了兩個關鍵漏洞這可能使攻擊者可以遠端入侵群聊參與者或單個收件人的系統。
所讨論的兩個缺陷都是路徑周遊漏洞，可以利用這些漏洞在運作視訊會議軟體漏洞版本的系統上寫入或植入任意檔案，以執行惡意代碼。
根據研究人員的說法，成功利用這兩個漏洞不需要或很少需要目标聊天參與者進行互動，并且隻需通過聊天功能将特制消息發送給個人或小組即可執行。
第一個安全漏洞（CVE-2020-6109）存在于Zoom利用Facebook最近購買的GIPHY服務的方式中，該服務使它的使用者在聊天時可以搜尋和交換動畫GIF。
知名白帽黑客、東方聯盟創始人郭盛華透露：“Zoom應用程式沒有檢查是否從Giphy服務加載了共享GIF，而是允許攻擊者嵌入來自第三方攻擊者控制的伺服器的GIF，這些伺服器通過設計緩存/存儲在收件人系統中進行縮放。與應用程式關聯的特定檔案夾。”
除此之外，由于該應用程式還沒有清除檔案名，是以它可能允許攻擊者實作目錄周遊，進而誘使該應用程式将僞裝成GIF的惡意檔案儲存到受害者系統上的任何位置，例如啟動檔案夾。
第二個遠端執行代碼漏洞（CVE-2020-6110）駐留在通過聊天共享的Zoom應用程式易受攻擊的版本處理代碼片段的方式中。
“ Zoom的聊天功能是在XMPP标準的基礎上建構的，具有額外的擴充以支援豐富的使用者體驗。其中一個擴充支援包括具有完整文法突出顯示支援的源代碼段的功能。發送代碼段的功能需要安裝研究人員說： “此功能是對檔案共享支援的擴充。”
此功能在發送之前建立共享代碼段的zip存檔，然後自動将其解壓縮到收件人的系統上。
據研究人員稱，Zoom的zip檔案提取功能在提取zip檔案之前不會對其進行驗證，進而使攻擊者可以在目标計算機上植入任意二進制檔案。此外，部分路徑周遊問題使特制的zip檔案可以在預期的随機生成目錄之外寫入檔案。”
Zoom于上個月釋出，它通過針對Windows，macOS或Linux計算機的視訊會議軟體4.6.12版修複了這兩個關鍵漏洞。（歡迎轉載分享）