[ad_1]
Un ancien pirate informatique de la NSA a découvert une autre faille de sécurité critique dans Zoom, cette fois dans deux bugs pour Mac.
Selon TechCrunch, un ancien pirate de la NSA a trouvé deux bogues dans la version macOS de Zoom:
Le premier bug de Wardle se superpose à une découverte précédente. Zoom utilise une technique « louche » – qui est également utilisée par les logiciels malveillants Mac – pour installer l’application Mac sans interaction de l’utilisateur. Wardle a découvert qu’un attaquant local disposant de privilèges utilisateur de bas niveau peut injecter le programme d’installation de Zoom avec du code malveillant pour obtenir le plus haut niveau de privilèges utilisateur, appelé «root».
Ces privilèges d’utilisateur au niveau racine signifient que l’attaquant peut accéder au système d’exploitation macOS sous-jacent, qui est généralement interdit à la plupart des utilisateurs, ce qui facilite l’exécution de logiciels malveillants ou de logiciels espions sans que l’utilisateur ne s’en rende compte.
Il s’agit d’une référence au protocole d’installation de Zoom, qui a été décrit comme «très louche» par les experts. De ce rapport:
Vous êtes-vous déjà demandé comment le programme d’installation de macOS @zoom_us fonctionne sans que vous ayez à cliquer sur installer? Il s’avère qu’ils (ab) utilisent des scripts de préinstallation, décompressent manuellement l’application à l’aide d’un 7zip fourni et l’installent dans / Applications si l’utilisateur actuel est dans le groupe admin (aucune racine n’est requise).
Ce n’est pas strictement malveillant mais très ombragé et laisse définitivement un arrière-goût amer. L’application est installée sans que l’utilisateur donne son consentement final et une invite très trompeuse est utilisée pour obtenir les privilèges root. Les mêmes astuces que celles utilisées par les logiciels malveillants macOS.
Eh bien, il s’avère qu’il est malveillant car il peut être utilisé par un attaquant pour injecter le programme d’installation avec du code malveillant, obtenant « le plus haut niveau de privilèges utilisateur ».
Meilleurs outils d’apprentissage en ligne pour les enfants: ABCmouse, Reading IQ, et plus
Un deuxième bug, (oui, il y en a deux, plus tous les autres) concerne votre webcam et votre microphone:
Le deuxième bogue exploite une faille dans la façon dont Zoom gère la webcam et le microphone sur Mac. Le zoom, comme toute application qui a besoin de la webcam et du microphone, nécessite d’abord le consentement de l’utilisateur. Mais Wardle a déclaré qu’un attaquant peut injecter du code malveillant dans Zoom pour l’inciter à donner à l’attaquant le même accès à la webcam et au microphone que Zoom possède déjà. Une fois que Wardle a trompé Zoom pour charger son code malveillant, le code « héritera automatiquement » de tout ou partie des droits d’accès de Zoom, a-t-il dit – et cela inclut l’accès de Zoom à la webcam et au microphone.
En toute justice, car tout cela a été révélé par ce billet de blog, ne laissant à Zoom presque pas le temps de les aborder. Cependant, Zoom semble être un véritable incendie de poubelle en matière de confidentialité et de sécurité. Il a également été révélé que malgré les affirmations, les appels de Zoom ne sont pas cryptés de bout en bout, et que sa fonction de « chef d’entreprise » a regroupé des milliers d’étrangers, divulguant des données personnelles.
[ad_2]
Poster un Commentaire