Zoomsday: En kritisk sårbarhed gemt i en velkendt funktion

Et par kritiske sårbarheder, samlet kaldet "Zoomsday", har sat Zoom-brugere i alarmberedskab i denne uge. Ifølge rapportering fra Malwarebytes kan fejlene give en autentificeret angriber, der allerede sidder i samme møde som dig, mulighed for at køre ondsindet kode på din enhed – uden phishing-link og uden mistænkelig download. Alt, hvad de behøver, er en plads i opkaldet.

Problemet kan spores tilbage til Zooms annotationsfunktion, det værktøj, der lader deltagere tegne, fremhæve eller markere delte skærme under et opkald. Forskere fandt, at den måde, Zooms proprietære kommunikationsprotokol fortolker annotationsdata på, kan misbruges til at udløse fjernudførelse af kode. Sagt på almindeligt dansk: en rutinefunktion beregnet til samarbejde blev en døråbning for en angriber til at overtage kontrollen med en anden deltagers system – alt sammen inde fra et møde, der så helt almindeligt ud.

Hvordan fejlen blev fundet, og hvorfor det betyder noget

Det, der får Zoomsday til at skille sig ud, er ikke kun den tekniske mekanisme, men hvor hurtigt den blev afdækket. Det israelske cybersikkerhedsfirma A Security har beskrevet, hvordan en forsker brugte færre end 20 AI-prompts til at bygge en fungerende exploit-kæde på omkring en dag – et tempo, der ville have været usædvanligt for denne type sårbarhedsforskning selv for blot et par år siden. Zoom selv har vurderet problemet som høj alvorlighed, og det er blevet sporet som omfattende mindst to adskilte kritiske fejl, der arbejder sammen i annotationsfortolkeren.

Denne hastighed betyder noget af to grunde. For det første viser den, hvordan AI-assisterede værktøjer sænker barrieren for at finde alvorlige softwarefejl, hvilket er godt nyt, når det gøres af forskere, der ansvarligt indberetter til leverandører, men en nøgtern påmindelse om, at ondsindede aktører har adgang til de samme værktøjer. For det andet understreger den, at udbredt kommunikationssoftware, selv modne platforme med dedikerede sikkerhedsteams, stadig kan rumme dybe protokolniveausvagheder, der forbliver ubemærket i lang tid.

Hvorfor dette er et privatlivsproblem, ikke kun et sikkerhedsproblem

Det er fristende at arkivere dette som "endnu en softwarefejl", men privatlivskonsekvenserne fortjener mere opmærksomhed, end de hidtil har fået. Videokonferenceplatforme som Zoom står i centrum for enorme mængder følsomme samtaler: forretningsforhandlinger, juridiske konsultationer, lægeaftaler, journalistiske kildeopkald og personlige samtaler, som folk antager er private, blot fordi mødet har en adgangskode og et venteværelse.

En sårbarhed, der lader én deltager kompromittere en andens enhed inde fra et legitimt møde, omgår næsten enhver privatlivsantagelse, folk gør sig om videoopkald. Den kræver ikke, at man bryder ind i mødet udefra eller gætter en adgangskode; angriberen er allerede en inviteret eller autentificeret gæst. Det betyder, at det sædvanlige råd om at tjekke mødelinks eller undgå mistænkelige afsendere ikke helt passer her. Den tillidsgrænse, der svigter, er den mellem deltagere, der allerede er sammen i det (virtuelle) rum, hvilket er meget sværere for den almindelige bruger at gardere sig imod på egen hånd.

Hvad det betyder for dig

Hvis du bruger Zoom til arbejde, skole, telemedicin eller personlige opkald, er Zoomsday-fejlene en påmindelse om, at mødesoftware fortjener samme opdateringsdisciplin som dit operativsystem eller din browser. Zoom har afhjulpet de underliggende problemer, og løsningen kræver ikke andet end at opdatere til den nyeste version af appen. Sårbarheden har kun betydning, hvis du kører en forældet klient, så dette er en af de sjældne sikkerhedshistorier, hvor løsningen er reelt enkel og fuldt ud inden for din egen kontrol.

For organisationer er dette også et godt tidspunkt at kontrollere, om Zoom-opdateringer bliver udrullet automatisk på tværs af administrerede enheder i stedet for at være overladt til individuelle medarbejdere at installere, når de får tid. En enkelt ikke-opdateret bærbar computer i et fælles møde er nok til at udsætte hele opkaldet for risiko.

Handlingsorienterede råd

  • Opdater Zoom med det samme på alle enheder, du bruger – stationær, bærbar og mobil – da annotationsrelaterede fejl kun påvirker forældede versioner.
  • Hvis du administrerer Zoom-udrulninger for en virksomhed eller skole, så bekræft, at automatiske opdateringer er aktiveret i stedet for at stole på manuel patching.
  • Behandl videokonferencesoftware med samme hastende karakter som din browser eller dit operativsystem, når sikkerhedsopdateringer frigives – ikke som en eftertanke.
  • Vær forsigtig med, hvilke funktioner, som f.eks. skærmannotation, du aktiverer i følsomme møder, indtil du har bekræftet, at din klient er fuldt opdateret.

Zoomsday-sårbarhederne er et klart signal om, at selv betroede, dagligdags værktøjer kan bære alvorlige risici, der gemmer sig midt for øjnene af os. Den gode nyhed er, at denne særlige trussel har en ligetil løsning. Ved at opdatere Zoom nu lukker du døren, før det bliver et problem, så der er ingen grund til at vente.