Zoom: Bug öffnete Weg zur kompletten Übernahme des Systems

Die populäre Videokonferenz-Software Zoom hat ihre Nutzer erneut mit einer gravierenden Sicherheitslücke in Gefahr gebracht. Über die Schwachstelle konnten Angreifer das System des jeweiligen Anwenders komplett unter ihre Kontrolle bringen. Der zugrundeliegende Fehler beschränkte sich nach den bisher vorliegenden Erkenntnissen auf die MacOS-Version der Software. Für diese wurde vom Anbieter ein passender Patch bereitgestellt. Das Problem, das unter der Kennung CVE-2022-28756 in die Security-Datenbanken einging, sollte behoben sein, sobald die installierte Zoom-Variante auf die Version 5.11.5 aktualisiert wurde.

Gefunden wurde die Schwachstelle von Patrick Wardle, einem Sicherheitsforscher bei der Objective-See Foundation. Dieser stellte Details dazu auf der Hackerkonferenz DefCon vor. Demnach war es möglich, einen Exploit für den Zoom-Installer zu entwickeln, der vortäuschte, dass ein zu installierendes Software-Paket mit einer korrekten Signatur des Herstellers ausgestattet war.

Schnelle Reaktion

Auf diese Weise wurde es möglich, fremden Code in ein System einzuschleusen und zur Ausführung zu bringen. Dabei standen dem fremden Code Administrator-Rechte zur Verfügung, wodurch quasi alle Daten auf dem Rechner modifiziert, gelöscht oder erweitert werden konnten. Der Angreifer bekam also volle Kontrolle.

Damit dies möglich war, erforderte es eine Freigabe der Administrator-Rechte gegenüber dem Zoom-Installer. Dies dürfte für einen Angreifer aber letztlich keine größere Hürde darstellen, da quasi jeder Anwender, der Zoom gern nutzen will, diese Rechte bereitwillig gewährt. Während der Anbieter der Videoplattform einerseits natürlich zu kritisieren ist, dass ein Bug dieser Schwere überhaupt mit ausgeliefert wurde, lobte Wardle darüber hinaus aber auch die schnelle und professionelle Reaktion zur Behebung des Problems - was bei Zoom durchaus nicht immer der Fall war und zeigt, dass man sich der gestiegenen Verantwortung, die mit der massiv gewachsenen Popularität einhergeht, gestellt hat.

Siehe auch: Zoom für Mac: Mikrofon blieb nach Beenden eines Anrufs aktiviert

Download Zoom - Videokonferenzen und Live-Chats