Zoom corrige un bug sérieux dans son logiciel de vidéoconférence

Cybersécurité

Zoom a corrigé un bug cette semaine qui aurait permis à des individus de pirater les vidéoconférences de ses clients. Des chercheurs ont découvert que des pirates disposant d’un accès réseau auraient pu prendre le contrôle des ordinateurs des participants.

logiciel de videoconference

Zoom propose un logiciel de vidéoconférence pour le marché professionnel et affirme que plus de 750 000 entreprises utilisent sa plateforme. Ce bug aurait permis aux hackers de prendre le contrôle des messages de chat et de chasser des participants hors des réunions.

David Wells, chercheur à Tenable Security, a signalé le bug et a fourni une analyse incluant une vidéo de démonstration de la preuve-de-concept expliquant comment des attaquants auraient pu compromettre le système Zoom.

La vulnérabilité, qui affectait les versions Windows, Mac et Linux du logiciel Zoom, résidait dans la façon dont l’entreprise mettait en file d’attente et traitait les messages dans son logiciel de vidéoconférence, a déclaré Wells.  Cette vulnérabilité concerne les versions de zoom suivantes :

  • macOS 10.13, Zoom 4.1.33259.0925
  • Windows 10, Zoom 4.1.33259.0925
  • Ubuntu 14.04, Zoom 2.4.129780.0915

Le mécanisme interne utilisé par Zoom pour envoyer ses messages réseau gère deux types de paquets réseau : le protocole TCP (Transmission Control Protocol) et le protocole UDP (User Datagram Protocol). Bien que TCP soit généralement utilisé pour contrôler les sessions, UDP est un protocole plus simple et souvent utilisé pour envoyer du contenu de session.

UDP n’a pas la contrainte du handshaking et de la prévention de la perte de paquets que vous trouvez dans le protocole TCP, ce qui le rend plus fluide et plus dangereux aussi. Il est idéal pour les communications réseau, sensibles à la latence, utilisées dans les conférences audio et vidéo.

Le mécanisme de messagerie distribue les deux types de paquets au même programme de gestionnaire de messages. Wells a mis au point un moyen de créer un paquet UDP mal formé que le gestionnaire de messages interprète comme un message TCP. L’exploit fonctionne parce que le gestionnaire de messages ne valide pas les messages entrants pour repérer le paquet mal formé, selon le synopsis de Tenable.

Le gestionnaire de messages accepte les paquets UDP même lorsque les sessions chiffrées sont activées, signifiant ainsi que les attaquants n’ont pas besoin de s’authentifier d’abord sur le système. Cela permet aux hackers, hors des participants à la réunion prise pour cible, de pirater celle-ci. Un attaquant peut être sur le réseau local, ou même sur une connexion WAN, suggère Wells, en attaquant par force brute le port utilisé par la victime pour sa session UDP avec le serveur Zoom.

Selon l’analyse de Tenable, un attaquant peut prendre le contrôle d’un ordinateur en ciblant un participant distant partageant son écran pendant une session. Il pourrait alors contourner les autorisations de contrôle d’écran et envoyer des frappes de clavier et des mouvements de souris directement au niveau de la machine du participant en question. En pratique, cependant, il doit éviter la perte de paquets, ce qui est courant dans les sessions UDP et pourrait ainsi rendre ses frappes inexactes. Il devrait également éviter que la victime ne s’en rende compte et stoppe ses agissements.

Tenable a d’abord fourni à Zoom les détails complets de cette faille le 11 octobre et l’entreprise de vidéoconférence a publié des versions corrigées pour ses clients Windows et Mac le 20 novembre, suivies d’un correctif pour le client Linux le 30 novembre.


Billet inspiré de Zoom patches serious video conferencing bug, sur Sophos nakedsecurity.

Leave a Reply

Fill in your details below or click an icon to log in:

WordPress.com Logo

You are commenting using your WordPress.com account. Log Out /  Change )

Google+ photo

You are commenting using your Google+ account. Log Out /  Change )

Twitter picture

You are commenting using your Twitter account. Log Out /  Change )

Facebook photo

You are commenting using your Facebook account. Log Out /  Change )

Connecting to %s

This site uses Akismet to reduce spam. Learn how your comment data is processed.