Zoom for macOS weiter angreifbar?

Die Zoom Videokonferenz-App für macOS ist möglicherweise weiterhin anfällig für kritische RCE-Fehler. Denn das Update des Anbieters von letzter Woche hilft nicht immer. Speziell, wenn der Webserver noch auf macOS läuft.

Schwachstelle in Zoom-Client

Ich hatte es kürzlich im Blog-Beitrag Sicherheit und 0-day Schwachstellen (9. Juli 2019)erwähnt. Im Mac Zoom-Client gibt es eine 0-day-Sicherheitslücke, die die Entwickler trotz Offenlegung nicht schließen konnten. Eine Schwachstelle im Mac Zoom Client ermöglichte es Angreifern bzw. bösartigen Websiten die betreffenden Kamera ohne die Zustimmung des Benutzers zu aktivieren. Der Fehler tangiert potenziell bis zu 750.000 Unternehmen auf der ganzen Welt, die den Zoom-Client für das Tagesgeschäft nutzen.

Im Blog-Beitrag Mac-Update schließt Zoom-Lücke, Apple Watch: Walki Talkie-App deaktiviert hatte ich erwähnt, dass der Hersteller ein Update vom 9. Juli 2019 für die Mac-App gibt, welches diese Schwachstelle fixt. Das Update entfernt den lokalen Webserver, den die App eingerichtet hat. Zudem ermöglicht das Update es Benutzern, über eine neue Option in der Zoom-Menüleiste den Zoom-Client, einschließlich des lokalen Webservers, manuell zu deinstallieren.

Zudem hat Apple zum 10. Juli 2019 ein Update herausgegeben. Dieses entfernt den Zoom-Webserver von allen Macs, auch wenn der Benutzer seine Zoom-App nicht aktualisiert oder gelöscht hat.

Schwachstelle kann weiter existieren

Nun berichtet The Hacker News in diesem aktuelleren Beitrag, dass die Zoom-Videokonferenz-Software weiter für Remote Code Execution-Angriffe gefährdet sei. Hintergrund ist die Schwachstelle CVE-2019-13450 im Webserver.

Unmittelbar nach einer heftigen Kritik veröffentlichte das Unternehmen das oben erwähnte Notfall-Update für seine Software. Dieses sollte die verwundbare Webserver-Implementierung (ZoomOpener-Daemon) vollständig zu entfernen. Das Software-Update konnte jedoch keine ehemaligen Kunden schützen, die die Software nicht mehr nutzen, aber den anfälligen Webserver auf ihren Systemen unwissentlich immer noch aktiviert haben.

Die National Vulnerability Database (NVD) veröffentlichte eine Warnung, die genau dieses Szenario beschreibt. Bleibt zu hoffen, dass das stille Update, welches Apple herausgegeben hat, den Webserver unter macOS wirklich entfernt.