Usuários do Zoom estiveram vulneráveis a invasões de seus computadores e celulares devido a três falhas críticas no recurso de anotação da plataforma. As vulnerabilidades, que permitiam a um participante assumir o controle do dispositivo de outro na mesma reunião, foram descobertas pela startup de segurança A Security e corrigidas pela Zoom entre junho e julho deste ano.
O aspecto mais alarmante das falhas era que elas não exigiam qualquer ação da vítima. Segundo a A Security, não havia necessidade de cliques, downloads ou qualquer sinal visível na tela que indicasse a invasão, tornando os ataques totalmente silenciosos e eficazes. A capacidade de ataque funcionava em ambas as direções: tanto quem compartilhava a tela podia invadir quem assistia, quanto o contrário.
Como a falha funcionava
O cerne do problema residia no protocolo de anotação em tempo real, uma ferramenta que permite desenhar e escrever sobre uma tela compartilhada. A reconstrução técnica feita pela A Security aponta que o desenho enviado por um participante era convertido em um objeto de dados, trafegando como uma sequência de contagens seguida do conteúdo. Uma das vulnerabilidades explorava um buffer fixo de 128 bytes, que podia ser preenchido sem verificação de tamanho, permitindo que dados extras sobrescrevessem o endereço de retorno na memória.
Além disso, o que tornava o ataque possível para toda a sala de reunião era a ausência de verificação sobre a origem de cada mensagem. O sistema do Zoom lia apenas o tipo numérico da mensagem e a encaminhava ao processador correspondente, sem checar se o remetente era o apresentador ou um espectador, abrindo caminho para que qualquer participante iniciasse a invasão.
Acelerando a descoberta com Inteligência Artificial
A descoberta dessas vulnerabilidades foi notável não apenas pela sua gravidade, mas também pela metodologia empregada. A A Security revelou ter utilizado modelos de Inteligência Artificial disponíveis publicamente para identificar o problema e construir um exploit funcional em menos de um dia, utilizando menos de 20 comandos de texto. Omer Gull, cofundador da startup, afirmou à Wired que, antes da IA, uma descoberta desse porte levaria uma equipe de cinco pessoas cerca de seis meses de trabalho.
“O Zoom é um tipo de alvo importante porque as pessoas confiam nele. Não o veem como uma ameaça”, destacou Gull, sublinhando a importância de identificar falhas em plataformas tão amplamente utilizadas.
Divergências na avaliação de gravidade e as correções
A avaliação da gravidade das falhas apresenta uma pequena divergência entre a Zoom e a A Security. A Zoom classificou as três vulnerabilidades com notas entre 6,5 e 8,3 na escala CVSS (Common Vulnerability Scoring System), um padrão da indústria. A A Security, por sua vez, atribui nota 9,0 às três falhas, justificando a diferença pelo uso de uma versão mais recente da escala CVSS, que não constava nos boletins oficiais publicados pela Zoom.
As versões afetadas incluíam o Zoom Workplace em todas as plataformas suportadas, o cliente VDI para Windows, o Zoom Rooms e o Zoom Meeting SDK. As correções foram implementadas e disponibilizadas aos clientes em junho e julho, cerca de dois meses antes da divulgação pública das falhas. É importante notar que nenhum dos três identificadores das vulnerabilidades consta no catálogo de vulnerabilidades exploradas da CISA (Agência de Cibersegurança e Segurança de Infraestrutura) americana.
Outra discrepância notável reside na classificação da interação do usuário. Embora a A Security descreva o ataque como “sem clique”, os boletins da Zoom classificam a interação do usuário como necessária para os três casos.
As implicações da vulnerabilidade
Yossi Torati, cofundador da A Security, alertou à Wired que uma invasão bem-sucedida poderia conceder ao atacante acesso às credenciais da vítima e servir como ponto de partida para se mover lateralmente dentro de uma rede corporativa, potencializando o risco de ataques maiores. O Zoom não respondeu aos pedidos de comentário da Wired sobre as descobertas da A Security.
Fonte: canaltech.com.br