L’année mouvementée de Zoom vient de s’aggraver.
Maintenant qu’une grande partie du monde travaille de chez elle pour surmonter la pandémie du coronavirus, la popularité de Zoom a grimpé en flèche, mais a également conduit à une attention accrue sur les pratiques de sécurité. Après que deux chercheurs en sécurité aient découvert une faille dans Zoom pouvant être utilisé pour voler les mots de passe Windows, un autre chercheur en sécurité a découvert deux nouvelles failles pouvant être utilisés pour prendre le contrôle du Mac d’un utilisateur de Zoom, notamment en se connectant à la webcam et au microphone.
Patrick Wardle, ancien hacker de la NSA et aujourd’hui chercheur principal en matière de sécurité chez Jamf, a divulgué les deux failles précédemment non divulguées sur son blog mercredi.
Les deux bogues, a déclaré M. Wardle, peuvent être lancés par un attaquant local – c’est là que quelqu’un a le contrôle physique d’un ordinateur vulnérable. Une fois exploité, l’attaquant peut obtenir et maintenir un accès persistant aux entrailles de l’ordinateur d’une victime, lui permettant d’installer des logiciels malveillants ou des logiciels espions.
Zoom utilise une technique « étrange » – également utilisée par les logiciels malveillants Mac – pour installer l’application Mac sans interaction de l’utilisateur. Wardle a découvert qu’un attaquant local ayant des privilèges d’utilisateur de bas niveau peut injecter du code malveillant dans l’installateur de Zoom pour obtenir le plus haut niveau de privilèges d’utilisateur, appelé « root ».
Ces privilèges de l’utilisateur de niveau racine signifient que l’attaquant peut accéder au système d’exploitation MacOS sous-jacent, qui est généralement interdit à la plupart des utilisateurs, ce qui facilite l’exécution de logiciels malveillants ou de logiciels espions sans que l’utilisateur ne s’en aperçoive.
Le second bug exploite une faille dans la manière dont Zoom gère la webcam et le microphone sur les Mac. Zoom, comme toute application qui a besoin de la webcam et du microphone, nécessite d’abord le consentement de l’utilisateur. Mais selon M. Wardle, un attaquant peut injecter un code malveillant dans Zoom pour le piéger et lui donner le même accès à la webcam et au microphone que celui dont dispose déjà Zoom. Une fois que Wardle a piégé Zoom pour qu’il charge son code malveillant, le code « hérite automatiquement » d’une partie ou de la totalité des droits d’accès de Zoom, a-t-il dit – et cela inclut l’accès de Zoom à la webcam et au microphone.
«Aucun invité supplémentaire ne sera affichée, et le code injecté a pu enregistrer arbitrairement de l’audio et de la vidéo« , a écrit Wardle.
Parce que Wardle a divulgué les détails des vulnérabilités sur son blog, Zoom n’a pas encore fourni de correctif.
Entre-temps, Wardle a déclaré : «Si vous vous souciez de votre sécurité et de votre vie privée, arrêtez peut-être d’utiliser Zoom. »
Peut-être ne devrions-nous pas utiliser Zoom après tout
MAJ : Depuis la publication de cet article, Zoom a fait le nécessaire pour protéger ses utilisateurs.
Source : techcrunch.com
Articles dans la même catégorie :
– Tutoriel excel : Créer une liste déroulante dans Excel 2010
– Top 4 des outils gratuits pour créer des images ISO à partir d’un CD, d’un DVD ou de fichiers d’ordinateur :winx, ISO Recorder..
–Classement des langages de programmation en 2019: les langages les plus populaires
–Comment installer et exécuter PowerShell 7sur Windows 10
– En quoi ungestionnaire de mot de passepourrait vous être utile ?
–PC Astuces : Protégez votre PC des pannes d’électricité avec ces quelques astuces !
