WhiteHat News #ID:2017
VIP Members
-
20/03/2017
-
113
-
356 bài viết
Lỗ hổng trên Zoom bị khai thác để phá mật khẩu cuộc họp trong vài phút
Ứng dụng họp trực tuyến Zoom vừa cập nhật bản vá một lỗ hổng an ninh mới có thể cho phép tin tặc phá mã passcode dùng để bảo mật các cuộc họp riêng tư và theo dõi người tham gia cuộc họp.
Các cuộc họp trên Zoom được bảo vệ mặc định bằng mật khẩu gồm 6 chữ số, nhưng theo Tom Anthony, người đã phát hiện ra lỗi này, "kẻ tấn công có thể thử 1 triệu mật khẩu trong vài phút và có được quyền truy cập vào các cuộc họp riêng tư (được bảo vệ bằng mật khẩu) của người khác "
Điều đáng chú ý là Zoom bắt đầu yêu cầu mã passcode cho tất cả các cuộc họp vào tháng 4 nhằm ngăn ngừa các cuộc tấn công ồ ạt vào ứng dụng này, bao gồm các hành động phá rối và tấn công các cuộc họp không được mời để chia sẻ nội dung tục tĩu và phân biệt chủng tộc.
Anthony đã báo cáo vấn đề này cho công ty vào ngày 1/4/2020, cùng với mã khai thác PoC dựa trên Python, một tuần sau đó Zoom đã vá lỗ hổng vào ngày 9/4.
Thực tế là các cuộc họp được bảo mật mặc định bằng mã 6 chữ số có nghĩa là chỉ có thể có tối đa một triệu mật khẩu.
Nhưng vì không kiểm tra các lần thử mật khẩu lặp lại không chính xác, kẻ tấn công có thể lợi dụng trình duyệt web (web client) của Zoom (https://zoom.us/j/MEETING_ID) để gửi liên tục các truy vấn HTTP và thử tất cả một triệu khả năng kết hợp.
Với sự hỗ trợ của 4-5 máy chủ đám mây, kẻ xấu có thể thử toàn bộ mật khẩu trong vài phút, Anthony cho biết.
Đã có các cuộc tấn công phá passcode nhắm tới các cuộc họp định kỳ và kẻ xấu có thể đã có quyền truy cập vào các cuộc họp đang diễn ra một khi mã passcode bị bẻ.
Nhà nghiên cứu này cũng phát hiện quy trình tương tự có thể lặp lại với các cuộc họp đã đặt lịch, với tùy chọn ghi đè mã passcode mặc định bằng biến thể chữ và số dài hơn và chạy theo danh sách 10 triệu mật khẩu hàng đầu để tấn công dò mật khẩu.
Sau phát hiện trên, ngày 2/4 Zoom đã gỡ trình duyệt trên khỏi trực tuyến để giảm thiểu các nguy cơ trước khi đưa ra bản vá lỗi một tuần sau đó.
Đầu tháng 7, công ty này cũng đã giải quyết lỗ hổng 0-day trong ứng dụng Windows có thể cho phép kẻ tấn công thực thi mã tùy ý trên máy tính chạy Windows 7 trở lên.
Hãng cũng sửa một lỗ hổng khác có thể cho phép tin tặc giả mạo một tổ chức và lừa nhân viên hoặc đối tác kinh doanh của tổ chức đó tiết lộ thông tin cá nhân hoặc thông tin bí mật khác thông qua các cuộc tấn công phi kỹ thuật.
Điều đáng chú ý là Zoom bắt đầu yêu cầu mã passcode cho tất cả các cuộc họp vào tháng 4 nhằm ngăn ngừa các cuộc tấn công ồ ạt vào ứng dụng này, bao gồm các hành động phá rối và tấn công các cuộc họp không được mời để chia sẻ nội dung tục tĩu và phân biệt chủng tộc.
Anthony đã báo cáo vấn đề này cho công ty vào ngày 1/4/2020, cùng với mã khai thác PoC dựa trên Python, một tuần sau đó Zoom đã vá lỗ hổng vào ngày 9/4.
Thực tế là các cuộc họp được bảo mật mặc định bằng mã 6 chữ số có nghĩa là chỉ có thể có tối đa một triệu mật khẩu.
Nhưng vì không kiểm tra các lần thử mật khẩu lặp lại không chính xác, kẻ tấn công có thể lợi dụng trình duyệt web (web client) của Zoom (https://zoom.us/j/MEETING_ID) để gửi liên tục các truy vấn HTTP và thử tất cả một triệu khả năng kết hợp.
Với sự hỗ trợ của 4-5 máy chủ đám mây, kẻ xấu có thể thử toàn bộ mật khẩu trong vài phút, Anthony cho biết.
Đã có các cuộc tấn công phá passcode nhắm tới các cuộc họp định kỳ và kẻ xấu có thể đã có quyền truy cập vào các cuộc họp đang diễn ra một khi mã passcode bị bẻ.
Nhà nghiên cứu này cũng phát hiện quy trình tương tự có thể lặp lại với các cuộc họp đã đặt lịch, với tùy chọn ghi đè mã passcode mặc định bằng biến thể chữ và số dài hơn và chạy theo danh sách 10 triệu mật khẩu hàng đầu để tấn công dò mật khẩu.
Sau phát hiện trên, ngày 2/4 Zoom đã gỡ trình duyệt trên khỏi trực tuyến để giảm thiểu các nguy cơ trước khi đưa ra bản vá lỗi một tuần sau đó.
Đầu tháng 7, công ty này cũng đã giải quyết lỗ hổng 0-day trong ứng dụng Windows có thể cho phép kẻ tấn công thực thi mã tùy ý trên máy tính chạy Windows 7 trở lên.
Hãng cũng sửa một lỗ hổng khác có thể cho phép tin tặc giả mạo một tổ chức và lừa nhân viên hoặc đối tác kinh doanh của tổ chức đó tiết lộ thông tin cá nhân hoặc thông tin bí mật khác thông qua các cuộc tấn công phi kỹ thuật.
Theo The Hacker News