Zoom客户端遭爆零时差攻击漏洞，可让恶意网页不需用户同意启动摄影机

热门的视讯会议服务Zoom被发现，其Mac版本的客户端存在零时差漏洞，可让恶意网站不须经过使用者同意，就自动启用摄影机，而且Gradle工程师，同时也是资安研究员的Jonathan Leitschuh还发现，使用者并无法完全卸载Zoom客户端，网站可以偷偷地将软件自动重新安装回来。

Zoom客户端包含了两个漏洞，分别是DoS漏洞以及未经授权启动摄影机的漏洞，Zoom已经确认了漏洞的存在，前者在Mac版本的Zoom客户端4.4.2更新修补，但是后者还未完成修复。

Zoom客户端漏洞可以让任何网站，在未经用户许可的情况下，将用户加入会议中，并启动摄影机，而且透过不停地将用户加入无效的会议，对使用者进行Dos攻击。这个漏洞是利用了Zoom本身的功能，攻击者只要向用户发送恶意会议连结，用户在浏览器打开该连结，Zoom客户端就会启动，而且只要攻击者反复地向用户发送错误号码的GET请求，Zoom应用程序就会不停向操作系统要求焦点，达到DoS攻击的目的。

未经使用者授权启用摄影机，是一种资讯泄露漏洞，Jonathan Leitschuh也实现了该漏洞的概念性验证攻击，用户不需要特别启动Zoom应用程序，就会受到攻击，任何网站内容包括广告，只要嵌入特定程式码，就能立即启动Zoom用户的摄影机，让攻击者进行视讯监控，而这项漏洞至今尚未修补。

而且Jonathan Leitschuh还提到，用户并无法真正的卸载Zoom客户端，因为在安装Zoom客户端的时候，该软件会在系统中安装一个Localhost的网页服务器，而解除安装Zoom客户端并无法移除这个网页服务器，当使用者存取网页的时候，网页可以在不需要使用者互动的情况，将Zoom客户端安装回来。

Zoom团队目前采用修补漏洞的方法，是为发送至客户端的请求加上数位签章，并将签章绑定IP位置，不过Jonathan Leitschuh提到，这项修补并不完全，因为只要攻击者与受害者在相同的NAT路由器后，则受害者仍然会受到攻击。

另外，Jonathan Leitschuh也抨击Zoom，其Mac客户端存在一个根本性的安全问题，因为任何网站都可以与Zoom客户端安装的Localhost网页服务器互动，而这是非常危险的做法，他认为网页不应该使用这种方法与桌面应用程序沟通，浏览器应该要启动一个沙盒以防止恶意程式码在使用者的电脑上执行，Jonathan Leitschuh推测Zoom使用了骇客技术，绕过了浏览器的安全保护机制。

Zoom团队则解释，因为Mac的Safari不支援URI处理程序，才需要有这个网页服务器。Jonathan Leitschuh建议Mac使用者，要完全消除受到漏洞影响的威胁，需要在Zoom应用程序的设定中，禁用加入会议启动摄影机的选项，并使用他提供的指令关闭网页服务器。

受这个漏洞影响的使用者可能比想像的还要多，Jonathan Leitschuh提到，光在2015年Zoom就拥有4,000万使用者，如果以10％的Mac市场来算，现在至少有400万Zoom用户使用Mac，这个漏洞是个零时差漏洞，而Zoom客户端缺乏有效率的自动更新机制，导致不少用户现在仍在使用有漏洞的版本。

在3月初的时候Jonathan Leitschuh首次回报该漏洞，但Zoom并没有任何回应，直到3月底他再次回报漏洞，并且提到在90天后将公开漏洞资讯，Zoom才开始认真看待这个漏洞，并与Chromium以及FireFox团队开会，进行修补工作，但Zoom团队仍没有在标准90天内完成修补。