Zoom, la plataforma de videoconferencia que se ha convertido en un elemento básico de conexión y comunicación desde el inicio de la COVID-19, ha revelado cuatro vulnerabilidades de seguridad recientes.
Las vulnerabilidades podrían ser explotadas para comprometer a los usuarios a través del chat mediante el envío de mensajes del Protocolo Extensible de Mensajería y Presencia (XMPP) especialmente diseñados y la ejecución de código malicioso.
Las cuatro vulnerabilidades, cuya gravedad oscila entre 5,9 y 8,1, fueron descubiertas por Ivan Fratric, del Proyecto Zero de Google. Fratric rastreó los fallos desde el CVE-2022-22784 hasta el CVE-2022-22787 y posteriormente los comunicó en febrero de 2022.
Los fallos incluyen:
CVE-2022-22784 (puntuación CVSS: 8,1): Análisis XML inadecuado en el cliente de Zoom para reuniones.
CVE-2022-22785 (puntuación CVSS: 5,9): Cookies de sesión incorrectamente restringidas en Zoom Client for Meetings.
CVE-2022-22786 (puntuación CVSS: 7,5): Actualización de paquetes en Zoom Client for Meetings para Windows.
CVE-2022-22787 (puntuación CVSS: 5,9): Validación insuficiente del nombre de host durante el cambio de servidor en Zoom Client for Meetings.
XMPP es el estándar en el que se basa la función de chat de Zoom. Un ciberatacante puede hacerse pasar por un usuario normal mediante la explotación de las vulnerabilidades mencionadas. A su vez, el individuo puede conectarse a un servidor sospechoso y descargar una actualización, dando lugar a la ejecución de código arbitrario derivado de un ataque de downgrade.
En el informe, Fratric escribe: «La vulnerabilidad inicial (etiquetada como XMPP Stanza Smuggling) abusa de las inconsistencias de análisis entre los analizadores XML en el cliente y el servidor de Zoom para poder «contrabandear» estrofas XMPP arbitrarias al cliente víctima. A partir de ahí, enviando una estrofa de control especialmente diseñada, el atacante puede forzar al cliente víctima a conectarse a un servidor malicioso, convirtiendo así esta primitiva en un ataque man-in-the-middle».
El problema central de estas vulnerabilidades es la capacidad de un ciberatacante para encontrar inconsistencias entre los analizadores XML del cliente y del servidor del software. Cuando esto ocurre, las estrofas de XMPP pueden ser enviadas a la víctima del ataque. Esto permite a los hackers aprovecharse de las actualizaciones del software, convirtiendo el proceso en un arma y entregando una versión anticuada y menos segura de Zoom a posibles objetivos a través de un servidor malicioso.
Los sistemas de Microsoft con Zoom son los más susceptibles a estas vulnerabilidades. Sin embargo, Android, iOS, macOS y Linux son todos vulnerables a CVE-2022-22784, CVE-2022-22785 y CVE-2022-22787. Zoom aconseja descargar la última versión de la aplicación (5.10.0).