Две ранее неизвестные уязвимости в Zoom выставлены на продажу

[Artifact]

Уязвимости позволяют подглядывать за чужими видеозвонками.

На киберпреступном форуме выставлены на продажу два эксплоита для неисправленных уязвимостей в Zoom, позволяющих подглядывать за чужими видеозвонками. По данным нескольких источников издания Motherboard, один эксплоит предназначен для уязвимости в клиенте Zoom для Windows, а другой – для macOS.
«Не думаю, что у них будет продолжительный срок годности, поскольку, когда уязвимости нулевого дня начинают использоваться, о них становится известно», - отметил Адриел Десаутелс (Adriel Desautels), основатель компании Netragard, ранее занимавшейся продажей уязвимостей нулевого дня.
По словам еще одного источника, уязвимость в Windows-клиенте Zoom позволяет удаленно выполнить код на атакуемой системе и является «идеальной для промышленного шпионажа». С ее помощью злоумышленник может получить доступ к уязвимому клиенту Zoom, однако для получения контроля над всей системой ее нужно проэксплуатировать в связке с еще одним багом. Уязвимость в macOS не позволяет удаленно выполнить код.
Эксплоит для Windows-клиента Zoom стоит $500 тыс., однако, по словам источников, цена завышена как минимум в два раза. Воспользоваться эксплоитом можно только во время видеозвонка с жертвой. Другими словами, оставаться незамеченным атакующему не удастся, что существенно снижает интерес к эксплоиту со стороны спецслужб.
«Zoom со всей серьезностью относится к безопасности своих пользователей. Узнав о слухах, мы непрерывно работаем с надежной ИБ-компанией, являющейся одним из лидеров на рынке, для их расследования. На данный момент мы не обнаружили никаких фактов, подтверждающих достоверность этих заявлений», - сообщили представители Zoom.