Zoomsday : une faille critique cachée dans une fonctionnalité familière

Une paire de vulnérabilités critiques, collectivement surnommées « Zoomsday », a mis les utilisateurs de Zoom en alerte cette semaine. Selon Malwarebytes, ces failles pourraient permettre à un attaquant authentifié, déjà présent dans la même réunion que vous, d’exécuter du code malveillant sur votre appareil, sans lien d’hameçonnage ni téléchargement suspect. Il lui suffit d’avoir une place dans l’appel.

Le problème remonte à la fonctionnalité d’annotation de Zoom, l’outil qui permet aux participants de dessiner, surligner ou annoter des écrans partagés pendant un appel. Les chercheurs ont découvert que la manière dont le protocole de communication propriétaire de Zoom analyse les données d’annotation pouvait être exploitée pour déclencher une exécution de code à distance. En clair : une fonctionnalité courante destinée à la collaboration est devenue une porte d’entrée permettant à un attaquant de prendre le contrôle du système d’un autre participant, le tout depuis une réunion d’apparence tout à fait ordinaire.

Comment la faille a été découverte et pourquoi c’est important

Ce qui distingue Zoomsday, ce n’est pas seulement le mécanisme technique, c’est la rapidité avec laquelle il a été découvert. L’entreprise israélienne de cybersécurité A Security a décrit comment un chercheur a utilisé moins de 20 requêtes d’IA pour construire une chaîne d’exploitation fonctionnelle en une journée environ, un rythme qui aurait été inhabituel pour ce type de recherche de vulnérabilités il y a encore quelques années. Zoom a elle-même évalué le problème comme étant de gravité élevée, et il a été suivi comme impliquant au moins deux failles critiques distinctes agissant ensemble dans l’analyseur d’annotations.

Cette rapidité est importante pour deux raisons. Premièrement, elle montre à quel point les outils assistés par IA abaissent la barrière pour découvrir des failles logicielles graves : c’est une bonne nouvelle lorsque ce sont des chercheurs qui les signalent de manière responsable aux éditeurs, mais c’est un rappel qui donne à réfléchir que des acteurs malveillants ont accès aux mêmes outils. Deuxièmement, elle souligne que les logiciels de communication très répandus, même les plateformes matures dotées d’équipes de sécurité dédiées, peuvent encore receler des faiblesses profondes au niveau des protocoles qui passent inaperçues pendant longtemps.

Pourquoi c’est un problème de confidentialité, et pas seulement de sécurité

Il est tentant de classer cela dans la catégorie « un autre bug logiciel », mais les conséquences pour la vie privée méritent plus d’attention qu’elles n’en ont reçu jusqu’à présent. Les plateformes de visioconférence comme Zoom sont au cœur d’une énorme quantité de conversations sensibles : négociations commerciales, consultations juridiques, rendez-vous médicaux, appels de journalistes avec leurs sources et conversations personnelles que les gens pensent privées simplement parce que la réunion est protégée par un mot de passe et une salle d’attente.

Une vulnérabilité qui permet à un participant de compromettre l’appareil d’un autre depuis l’intérieur d’une réunion légitime contourne presque toutes les hypothèses de confidentialité que les gens font à propos des appels vidéo. Elle ne nécessite pas de s’introduire dans la réunion depuis l’extérieur ni de deviner un mot de passe ; l’attaquant est déjà un invité convié ou authentifié. Cela signifie que les conseils habituels consistant à vérifier les liens de réunion ou à éviter les expéditeurs suspects ne s’appliquent pas pleinement ici. La frontière de confiance qui cède est celle entre des participants qui se trouvent déjà ensemble dans la salle (virtuelle), ce qui est beaucoup plus difficile à prévenir pour l’utilisateur moyen.

Ce que cela signifie pour vous

Si vous utilisez Zoom pour le travail, l’école, la télésanté ou des appels personnels, les failles Zoomsday vous rappellent que les logiciels de réunion méritent la même discipline de mise à jour que votre système d’exploitation ou votre navigateur. Zoom a corrigé les problèmes sous-jacents, et le correctif ne nécessite rien de plus qu’une mise à jour vers la dernière version de l’application. La vulnérabilité ne compte que si vous utilisez un client obsolète ; c’est donc l’une des rares nouvelles de sécurité où le correctif est réellement simple et entièrement sous votre contrôle.

Pour les organisations, c’est aussi le bon moment pour vérifier si les mises à jour de Zoom sont déployées automatiquement sur les appareils gérés, plutôt que d’être laissées à la discrétion de chaque employé. Un seul ordinateur portable non corrigé dans une réunion partagée suffit à exposer tout l’appel au risque.

Mesures concrètes à prendre

  • Mettez à jour Zoom immédiatement sur chaque appareil que vous utilisez — ordinateur de bureau, portable et mobile —, car les failles liées à l’annotation ne touchent que les versions obsolètes.
  • Si vous gérez des déploiements Zoom pour une entreprise ou une école, vérifiez que les mises à jour automatiques sont activées plutôt que de compter sur une correction manuelle.
  • Accordez aux logiciels de visioconférence la même urgence qu’à votre navigateur ou à votre système d’exploitation lorsque des correctifs de sécurité sont publiés, au lieu de les traiter comme une réflexion après coup.
  • Soyez prudent quant aux fonctionnalités que vous activez, comme l’annotation d’écran, lors de réunions sensibles, tant que vous n’avez pas confirmé que votre client est entièrement corrigé.

Les vulnérabilités Zoomsday sont un signal clair que même les outils quotidiens de confiance peuvent comporter des risques graves cachés à la vue de tous. La bonne nouvelle, c’est que cette menace particulière a un correctif simple. Mettre à jour Zoom maintenant ferme la porte avant que cela ne devienne un problème : il n’y a donc aucune raison d’attendre.