搜索

[14370] 2019-07-20_MacZoom漏洞细节分析

文档创建者：s7ckTeam
浏览次数：10
最后更新：2025-01-18
2019-07-20_MacZoom漏洞细节分析 M a c   Z o o m 漏 洞 细 节 分 析 K r i s t o n   F r e e B u f   2 0 1 9 - 0 7 - 2 0 M a c   Z o o m 客 户 端 中 存 在 漏 洞 ， 允 许 任 何 恶 意 网 站 在 未 经 许 可 的 情 况 下 启 用 摄 像 头 。 这 一 漏 洞 可 能 会 暴 露 出 世 客 户 端 中 存 在 漏 洞 ， 允 许 任 何 恶 意 网 站 在 未 经 许 可 的 情 况 下 启 用 摄 像 头 。 这 一 漏 洞 可 能 会 暴 露 出 世 界 上 多 达 界 上 多 达 7 5 万 家 使 用 万 家 使 用 Z O O M 进 行 日 常 业 务 的 公 司 。 进 行 日 常 业 务 的 公 司 。 C V E 编 号 编 号 D O S 漏 洞 ： 在 客 户 端 版 本 4 . 4 . 2 - C V E - 2 0 1 9 – 1 3 4 4 9 中 修 复 信 息 泄 露 （ 网 络 摄 像 头 ） ： 未 补 - C V E - 2 0 1 9 – 1 3 4 5 0 更 新 - 7 月 9 日 （ 下 午 ） Z O O M 表 示 他 们 将 在 今 晚 发 布 修 复 程 序 ， 移 除 隐 藏 的 W e b 服 务 器 ； 希 望 这 能 修 补 这 个 漏 洞 。 Z O O M 首 席 执 行 官 还 保 证 ， 他 们 将 更 新 其 应 用 程 序 进 一 步 保 护 用 户 隐 私 。 前 言 前 言 此 漏 洞 允 许 任 何 网 站 在 未 经 用 户 许 可 的 情 况 下 ， 在 摄 像 机 在 线 的 情 况 下 强 制 加 入 z o o m   c a l l 。 除 此 之 外 ， 此 漏 洞 还 允 许 任 何 网 页 通 过 反 复 将 用 户 加 入 无 效 呼 叫 来 拒 绝 服 务 。 此 外 ， 如 果 您 安 装 了 z o o m 客 户 端 ， 然 后 将 其 卸 载 ， 您 的 计 算 机 上 仍 然 有 一 个 本 地 主 机 W e b 服 务 器 ， 它 将 重 新 安 装 z o o m 客 户 端 ， 除 了 访 问 网 页 外 ， 不 需 要 任 何 用 户 进 行 交 互 。 这 个 重 新 安 装 的 “ 功 能 ” 至 今 仍 然 有 效 。 此 漏 洞 利 用 了 很 简 单 的 z o o m 功 能 ， 可 以 向 任 何 人 发 送 会 议 链 接 （ 例 如 h t t p s : / / z o o m . u s / j / 4 9 2 4 6 8 7 5 7 ） 当 他 们 在 浏 览 器 中 打 开 该 链 接 时 ， 他 们 的 z o o m 客 户 端 会 在 本 地 计 算 机 上 打 开 。 但 是 这 一 惊 人 的 功 能 是 如 何 实 现 的 ， 以 及 它 是 如 何 安 全 地 实 现 的 。 后 来 发 现 ， 它 确 实 没 有 得 到 安 全 的 实 施 。 不 需 要 额 外 的 用 户 交 互 来 保 证 安 全 。 该 漏 洞 最 初 是 在 2 0 1 9 年 3 月 2 6 日 披 露 的 。 这 个 最 初 的 报 告 包 括 对 “ 快 速 修 复 ” z o o m 的 建 议 ， 可 以 通 过 简 单 地 更 改 服 务 器 逻 辑 来 实 现 。 Z O O M 用 了 1 0 天 来 确 认 漏 洞 。 在 2 0 1 9 年 6 月 1 1 日 第 一 次 关 于 如 何 修 补 漏 洞 的 实 际 会 议 ， 仅 在 9 0 天 公 开 披 露 截 止 日 期 前 1 8 天 。 在 这 次 会 议 中 ， 确 认 了 漏 洞 的 细 节 ， 并 讨 论 了 Z O O M 的 计 划 解 决 方 案 。 然 而 ， 很 容 易 在 修 补 计 划 中 发 现 新 的 漏 洞 利 用 方 法 。 此 时 ， z o o m 只 剩 下 1 8 天 的 时 间 来 解 决 漏 洞 。 在 等 待 了 9 0 天 之 后 的 6 月 2 4 日 ， 也 就 是 公 开 披 露 截 止 日 期 前 的 最 后 一 天 ， Z O O M 只 实 现 了 最 初 建 议 的 “ 快 速 修 复 ” 解 决 方 案 。 最 终 ， Z O O M 未 能 快 速 确 认 所 报 告 的 漏 洞 ， 未 能 及 时 修 复 。 未 能 保 护 如 此 庞 大 用 户 群 免 受 攻 击 。 细 节 细 节 在 M a c 上 ， 如 果 您 安 装 了 Z O O M ， 那 么 本 地 计 算 机 上 就 有 一 个 运 行 在 端 口 1 9 4 2 1 上 的 W e b 服 务 器 。 您 可 以 通 过 在 终 端 中 运 行 ' l s o f - i : 1 9 4 2 1 ' 来 确 认 此 服 务 器 是 否 存 在 。 首 先 ， 在 本 地 机 器 上 安 装 一 个 运 行 W e b 服 务 器 的 应 用 程 序 和 一 个 完 全 没 有 文 档 的 A P I 是 很 危 险 的 。 其 次 ， 访 问 的 任 何 网 站 都 可 以 与 运 行 在 本 地 的 W e b 服 务 器 进 行 交 互 也 是 很 危 险 的 。 当 我 得 知 这 个 W e b 服 务 器 存 在 时 ， 最 初 的 想 法 是 ， 如 果 在 这 个 W e b 服 务 器 的 参 数 处 理 中 有 一 个 缓 冲 区 溢 出 ， 那 么 就 可 以 在 我 的 机 器 上 实 现 R C E 。 我 还 发 现 ， 这 个 页 面 不 是 发 出 常 规 的 A j a x 请 求 ， 而 是 从 本 地 运 行 的 W e b 服 务 器 加 载 图 像 。 图 像 的 不 同 维 度 指 示 服 务 器 的 错 误 / 状 态 代 码 。 您 可 以 在 这 里 看 到 案 例 切 换 逻 辑 。 可 怕 的 是 ， W e b 服 务 器 可 以 做 的 远 不 止 启 动 一 个 z o o m 会 议 。 如 果 用 户 卸 载 了 z o o m 应 用 程 序 ， 这 个 W e b 服 务 器 也 可 以 重 新 安 装 。 我 的 问 题 是 ， 为 什 么 这 个 W e b 服 务 器 返 回 的 数 据 是 以 图 像 文 件 维 度 编 码 的 ？ 其 原 因 应 该 是 为 了 绕 过 跨 源 代 码 资 源 共 享 （ c o r s ） 。 但 是 浏 览 器 显 式 地 忽 略 本 地 主 机 上 运 行 的 服 务 器 的 任 何 C O R S 策 略 。 C h r o m e   d o e s   n o t   s u p p o r t   l o c a l h o s t   f o r   C O R S   r e q u e s t s   ( a n   o p e n   b u g   s i n c e   2 0 1 0
文 章 链 接 ： h t t p s : / / s t a c k o v e r f l o w . c o m / q u e s t i o n s / 1 0 8 8 3 2 1 1 / d e a d l y - c o r s - w h e n - h t t p - l o c a l h o s t - i s - t h e - o r i g i n 视 频 通 话 漏 洞 视 频 通 话 漏 洞 用 另 一 个 帐 户 创 建 了 一 个 个 人 会 议 ， 接 获 数 据 包 并 对 数 据 包 进 行 解 析 后 删 除 参 数 ， 查 看 启 动 z o o m 会 议 所 需 的 最 小 G E T 请 求 。 有 很 多 随 机 参 数 被 发 送 到 本 地 主 机 W e b 服 务 器 ， 但 唯 一 重 要 的 是 下 面 的 参 数 。 获 取 请 求 可 使 我 的 计 算 机 加 入 另 一 个 帐 户 创 建 的 z o o m 会 议 。 以 上 操 作 成 功 后 ， 我 在 想 是 否 可 以 通 过 传 递 参 数 执 行 其 他 共 呢 个 。 但 在 搜 索 了 各 种 公 共 文 档 和 公 共 P r o t o b u f f 后 ， 找 不 到 任 何 关 于 隐 藏 功 能 可 能 存 在 的 介 绍 说 明 。 这 个 W e b 服 务 器 的 A P I 完 全 没 有 文 档 记 录 ， 在 官 方 和 非 官 方 文 档 中 搜 索 不 到 关 于 这 个 桌 面 W e b 服 务 器 的 任 何 信 息 。 所 以 现 在 我 有 了 一 个 最 简 单 的 P O C ， 可 以 用 它 恶 意 地 让 任 何 用 户 拨 打 电 话 ， 因 为 “ 新 会 议 ” 的 默 认 设 置 是 允 许 用 户 选 择 是 否 加 入 他 们 的 音 频 / 视 频 。 我 认 为 这 只 是 一 个 安 全 漏 洞 。 直 到 今 天 仍 然 可 以 使 用 此 漏 洞 在 未 经 允 许 的 情 况 下 启 动 呼 叫 。 我 查 阅 了 六 个 月 前 z o o m 修 补 的 R C E 漏 洞 ， 该 漏 洞 结 合 现 在 的 这 个 漏 洞 可 以 再 任 何 安 装 z o o m 客 户 端 的 m a c 电 脑 上 远 程 执 行 代 码 。 如 果 一 个 相 似 特 征 的 漏 洞 出 现 就 会 导 致 攻 击 者 利 用 任 意 网 站 再 m a c 上 执 行 代 码 。 任 何 使 用 z o o m 版 本 在 4 . 1 . 3 3 2 5 9 . 0 9 2 5 或 者 更 低 的 版 本 都 会 收 到 攻 击 。 到 目 前 为 止 ， 我 只 能 在 没 有 用 户 许 可 的 情 况 下 让 他 们 加 入 视 频 会 议 。 但 是 如 何 利 用 该 漏 洞 激 活 摄 像 头 。 打 开 参 与 者 模 式 进 行 会 议 时 ， 我 发 现 加 入 会 议 的 任 何 人 都 会 自 动 连 接 视 频 。 在 我 自 己 的 机 器 上 尝 试 了 同 样 的 功 能 ， 发 现 它 的 工 作 原 理 完 全 相 同 。 这 促 使 我 在 下 面 创 建 概 念 证 明 。 概 念 证 明 概 念 证 明 本 地 客 户 机 z o o m   W e b 服 务 器 作 为 后 台 进 程 运 行 ， 因 此 ， 为 了 利 用 这 一 点 ， 用 户 甚 至 不 需 要 “ 运 行 ” （ 在 传 统 意 义 上 ） z o o m 应 用 程 序 就 会 受 到 攻 击 。 一 个 网 站 需 要 做 的 就 是 将 上 述 内 容 嵌 入 到 他 们 的 网 站 中 ， 任 何 z o o m 用 户 都 会 立 即 与 他 们 运 行 的 视 频 连 接 起 来 。 可 以 是 嵌 入 恶 意 广 告 ， 也 可 用 作 网 络 钓 鱼 活 动 的 一 部 分 。 可 以 在 下 面 链 接 的 P O C 进 行 漏 洞 测 试 。 警 告 ： 在 M a c 上 单 击 此 链 接 将 使 您 进 入 z o o m c a l l ！ h t t p s : / / j l l e i t s c h u h . o r g / z o o m v u l n e r a b i l i t y p o c / 可 以 在 下 面 的 连 接 找 到 一 个 完 全 工 作 的 P O C ， 它 将 在 您 的 摄 像 机 处 于 活 动 状 态 时 启 动 您 的 通 话 。 警 告 ： 在 M a c 上 单 击 此 链 接 将 使 您 在 相 机 激 活 的 情 况 下 进 入 z o o m   c a l l ！ 快 速 修 复 快 速 修 复 为 了 修 复 该 漏 洞 的 “ 自 动 加 入 视 频 ” 部 分 ， 建 议 在 其 后 端 服 务 器 上 进 行 校 验 ， 服 务 器 端 会 立 即 禁 用 会 议 创 建 者 默 认 情 况 下 自 动 启 用 参 与 者 视 频 功 能 。 同 时 如 果 有 其 他 隐 藏 的 功 能 也 应 该 被 禁 用 。 对 此 建 议 ， 我 收 到 以 下 回 复 ： Z O O M 官 方 相 信 能 够 让 我 们 的 客 户 选 择 他 们 想 要 的 z o o m 方 式 。 这 包 括 他 们 是 否 希 望 在 自 动 启 用 麦 克 风 和 视 频 的 情 况 下 加 入 会 议 ， 或 者 在 加 入 会 议 后 手 动 启 用 这 些 输 入 设 备 。 在 z o o m 会 议 客 户 端 音 频 和 视 频 设 置 中 可 以 使 用 这 些 配 置 选 项 。 但 是 ， 我 们 也 认 识 到 一 些 客 户 希 望 在 加 入 会 议 之 前 进 行 确 认 对 话 。 根 据 您 的 建 议 和 来 自 其 他 客 户 的 功 能 请 求 ， Z o o m t e a m [ s i c ] 正 在 评 估 此 类 功 能 ， 以 及 在 对 用 户 输 入 设 备 修 改 时 的 权 限 控 制 。 我 们 一 定 会 通 知 你 我 们 的 改 进 计 划 。 需 要 注 意 的 是 ， z o o m 默 认 配 置 是 允 许 主 机 选 择 在 默 认 情 况 下 相 机 是 否 启 用 。 Z O O M 最 终 修 复 了 这 个 漏 洞 ， 但 只 是 阻 止 攻 击 者 打 开 用 户 的 摄 像 机 。 他 们 没 有 禁 用 攻 击 者 强 行 使 访 问 恶 意 网 站 的 人 进 入 z o o m 视 频 会 议 的 功 能 。 a c t i o n = j o i n c o n f n o = [ w h a t e v e r   t h e   c o n f e r e n c e   n u m b e r   i s ]
更 新 ： 2 0 1 9 年 7 月 7 日 ： z o o m 在 新 的 更 新 修 复 中 允 许 摄 像 机 在 激 活 的 状 态 中 利 用 此 漏 洞 。 拒 绝 服 务 （ 拒 绝 服 务 （ D O S ） 漏 洞 ） 漏 洞 同 样 的 漏 洞 也 允 许 攻 击 者 对 任 何 用 户 的 计 算 机 执 行 D o S 操 作 。 只 要 发 送 一 个 错 误 数 字 的 重 复 G E T 请 求 ， Z O O M 应 用 程 序 就 会 不 断 地 从 操 作 系 统 请 求 “ 对 焦 ” , P O C 如 下 ： 在 4 . 4 . 2 版 的 z o o m 客 户 端 中 修 补 了 此 D O S 漏 洞 。 安 装 漏 洞 安 装 漏 洞 如 果 在 计 算 机 上 安 装 了 z o o m ， 则 会 安 装 W e b 服 务 器 。 如 果 从 计 算 机 上 卸 载 z o o m ， 它 会 继 续 运 行 。 除 了 启 动 视 频 功 能 外 ， 此 服 务 器 还 支 持 更 新 和 安 装 新 版 本 的 z o o m 。 此 W e b 服 务 器 内 的 一 个 A P I 在 所 有 安 装 了 z o o m 的 M a c 上 运 行 ， 该 a p i 允 许 此 服 务 器 更 新 或 重 新 安 装 当 前 安 装 的 z o o m 版 本 。 您 可 以 通 过 执 行 以 下 操 作 来 确 认 此 逻 辑 确 实 存 在 ： 如 果 尚 未 安 装 z o o m 客 户 端 ， 请 在 计 算 机 上 安 装 它 。 打 开 缩 放 客 户 端 ， 然 后 关 闭 它 。 将 a p p l i c a t i o n s / z o o m . u s . a p p 文 件 删 除 ， 从 计 算 机 中 卸 载 z o o m 客 户 端 。 打 开 任 何 z o o m 链 接 ， z o o m 将 重 新 安 装 到 客 户 端 应 用 程 序 文 件 夹 中 ， 并 该 W e b 服 务 器 启 动 。 对 源 代 码 中 列 出 的 所 有 域 进 行 w h o i s 查 找 。 例 如 ， 域 名 z o o m g o v . c o m 于 2 0 1 9 年 5 月 1 日 到 期 。 如 果 此 域 注 册 失 效 ， 接 管 此 域 将 允 许 攻 击 者 从 该 站 点 托 管 受 感 染 的 Z O O M 安 装 程 序 版 本 ， 以 及 已 经 卸 载 Z O O M 的 受 感 染 的 用 户 。 这 将 使 该 漏 洞 成 为 远 程 代 码 执 行 （ R C E ） 漏 洞 。 我 在 2 0 1 9 年 4 月 2 6 日 与 M o z i l l a 安 全 团 队 通 话 时 向 Z O O M 团 队 说 明 了 这 一 点 。 在 通 话 结 束 后 的 5 小 时 后 ， 该 域 名 已 注 册 到 2 0 2 4 年 5 月 1 日 。 基 本 安 全 漏 洞 基 本 安 全 漏 洞 在 我 看 来 ， 网 站 不 应 该 和 桌 面 应 用 程 序 交 互 。 浏 览 器 应 该 强 制 其 在 沙 箱 执 行 ， 以 防 止 其 在 用 户 计 算 机 上 执 行 恶 意 代 码 。 < b o d y > < s c r i p t > / /   I t ' s   a c t u a l l y   b e t t e r   i f   t h i s   n u m b e r   i s n ' t   a   v a l i d   z o o m   n u m b e r . v a r   a t t a c k N u m b e r   =   " 6 9 4 1 3 8 0 5 2 " s e t I n t e r v a l ( f u n c t i o n ( ) {     v a r   i m a g e   =   d o c u m e n t . c r e a t e E l e m e n t ( " i m g " ) ;     / /   U s e   a   d a t e   t o   b u s t   t h e   b r o w s e r ' s   c a c h e     v a r   d a t e   =   n e w   D a t e ( ) ;     i m a g e . s r c   =   " h t t p : / / l o c a l h o s t : 1 9 4 2 1 / l a u n c h ? a c t i o n = j o i n & c o n f n o = "   +   a t t a c k N u m b e r   +   " & "   +   d a t e . g e t T i m e ( ) ;     i m a g e . o n l o a d   =   f u n c t i o n ( )   {         / /   B e   t i d y ,   c l e a n   u p   t h e   D O M   a f t e r w a r d s         i m a g e . p a r e n t N o d e . r e m o v e C h i l d ( i m a g e ) ;     } ;     d o c u m e n t . b o d y . a p p e n d C h i l d ( i m a g e ) ; } ,   1 ) ; < / s c r i p t > < / b o d y >
C O R S - R F C 1 9 1 8 在 与 C h r o m i u m 和 M o z i l l a   F i r e f o x 安 全 团 队 讨 论 此 漏 洞 时 ， 他 们 都 表 示 他 们 无 法 对 此 漏 洞 采 取 任 何 措 施 。 C h r o m i u m 团 队 向 我 指 出 C O R S - R F C 1 9 1 8 要 求 浏 览 器 供 应 商 在 允 许 站 点 对 本 地 资 源 （ 如 l o c a l h o s t 和 1 9 2 . 1 6 8 . 1 . * 地 址 空 间 ） 发 出 请 求 之 前 查 询 用 户 的 权 限 。 G o o g l e 的 P r o j e c t   Z e r o 的 T a v i s   O r m a n d y 在 T r e n d M i c r o 的 密 码 管 理 器 中 发 现 了 类 似 的 漏 洞 ， 允 许 通 过 浏 览 器 远 程 执 行 代 码 并 从 密 码 保 险 库 中 泄 露 用 户 的 密 码 。 当 向 M o z i l l a   F i r e f o x 团 队 报 告 此 相 同 漏 洞 时 ， 他 们 并 没 有 重 视 ， 因 为 它 不 是 针 对 F i r e f o x 的 漏 洞 。 但 是 ， 官 方 很 快 意 识 到 该 漏 洞 的 危 害 。 在 2 0 1 9 年 4 月 2 6 日 我 被 邀 请 与 Z o o m 和 M o z i l l a   F i r e f o x 团 队 联 系 讨 论 该 漏 洞 。 在 这 次 电 话 会 议 中 ， 他 们 向 M o z i l l a 和 我 承 诺 ， 这 个 漏 洞 将 在 9 0 天 内 得 到 修 补 。 总 结 总 结 截 至 2 0 1 5 年 ， Z o o m 拥 有 超 过 4 0 0 0 万 用 户 。 M a c 占 P C 市 场 的 1 0 ％ ， 而 且 自 2 0 1 5 年 以 来 Z o o m 显 著 增 长 ， 可 以 假 设 至 少 有 4 0 0 万 的 Z o o m 用 户 使 用 M a c 。 Z o o m ， G o o g l e   M e e t 或 S k y p e   f o r   B u s i n e s s 等 工 具 。 具 有 此 众 多 用 户 的 应 用 程 序 中 的 任 何 漏 洞 都 必 须 被 视 为 对 用 户 的 严 重 威 胁 。 本 报 告 中 描 述 的 所 有 漏 洞 都 可 以 通 过 “ d r i v e - b y   a t t a c k ” 方 法 进 行 利 用 。 在 我 与 Z o o m 安 全 团 队 的 对 话 中 ， 他 们 似 乎 多 次 争 辩 说 这 个 漏 洞 的 严 重 性 是 有 限 的 ， 因 为 它 需 要 “ 用 户 交 互 ” 才 能 利 用 这 些 漏 洞 。 我 相 信 ， 为 了 完 全 保 护 用 户 需 要 删 除 这 个 l o c a l h o s t   W e b 服 务 器 解 。 使 用 浏 览 器 注 册 自 定 义 U R I 处 理 程 序 （ 例 如 ， z o o m ： / /   U R I 处 理 程 序 ） 等 替 代 方 法 。 触 发 U R I 处 理 程 序 后 ， 浏 览 器 会 明 确 提 示 用 户 确 认 打 开 应 用 程 序 。 根 据 Z o o m 团 队 的 说 法 ， l o c a l h o s t 服 务 器 存 在 的 原 因 是 A p p l e 的 S a f a r i 不 支 持 U R I 处 理 程 序 。 * 参 考 来 源 ： 参 考 来 源 ： m e d i u m ， ， K r i s t o n 编 译 整 理 ， 转 载 请 注 明 来 自 编 译 整 理 ， 转 载 请 注 明 来 自   F r e e B u f . C O M 精 彩 推 荐 精 彩 推 荐
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理