安全会议的好处之一是它们可以推动供应商采取更多行动。会议期间防御Con 30上周末在拉斯维加斯举行的安全研究人员帕特里克·沃德尔 (Patrick Wardle) 详细介绍了流行视频会议软件 macOS 版本中的一个严重缺陷。一天后，Zoom 发布了 5.11.5 更新，最终解决了该问题，强烈建议安装。
现在还不算太早，因为帕特里克·沃德尔（Patrick Wardle）去年 12 月就已经向出版商发出了警报。从那时起，发行商发布了两个修复程序，不幸的是，这些修复程序存在缺陷，因此无效。这确实让安全研究人员很恼火。“对我来说，这有点问题，因为我不仅向 Zoom 报告了错误，而且还报告了错误并解释了如何修复代码。因此，等待六、七、八个月真的很令人沮丧，因为我知道所有 Mac 版本的 Zoom 都容易受到攻击。”沃德尔在讲话前通过电话告诉 The Verge。
自动更新的一个bug
这次在拉斯维加斯的黑客演示显然为 Zoom 的内部运作注入了活力。这是一件好事，因为该缺陷允许在任何运行 macOS 的计算机上进行 root 访问。如何 ？得益于集成但有缺陷的更新模块（“自动更新器”）。通过分析，Patrick Wardle 意识到更新文件的签名验证不起作用，因此可以让它安装任何东西。由于该模块以管理员权限运行，因此攻击者最终可以获得系统的所有访问权限。
该补丁的发布令研究人员感到满意，他甚至称赞 Zoom 的速度和响应能力。我们应该看到一点讽刺吗？无论如何，这个演示凸显了 Zoom 平台的弱点。 2020年，出版商多次被评选为其服务安全性较差。此后，它试图纠正这种情况，增加了一系列功能，例如端到端加密或屏蔽会议 ID。他甚至有幸恢复密钥库，安全即时消息编辑器，2020 年 5 月。
来源 ： 边缘
