Dos nuevos fallos críticos en Zoom permiten hackear los dispositivos de los usuarios

Las vulnerabilidades de Zoom vuelven a hacerse eco en nuestro feed de noticias al descubrirse que dos fallos críticos en la aplicación han permitido a usuarios malintencionados vulnerar los sistemas de los usuarios de Zoom a través de su funcionalidad de chat.

En esta ocasión las vulnerabilidades han sido descubiertas por el equipo de investigación Cisco Talos. Ambas vulnerabilidades son del tipo path traversal, las cuales pueden ser explotadas para escribir o crear archivos en los sistemas que tengan instalada la versión vulnerable de la aplicación, para así ejecutar código malicioso.

Según los investigadores, ambas vulnerabilidades pueden ser explotadas con poca o ninguna interacción por parte de los usuarios que se convirtiesen en víctimas del ataque, y se pueden ejecutar enviando mensajes personalizados a través del chat de la aplicación a un usuario particular o a todo un grupo.

La primera vulnerabilidad se ha identificado con el código CVE-2020-6109 y se encontraba en el servicio GIPHY de Zoom, recientemente adquirido por Facebook, para permitir a los usuarios buscar e intercambiar GIFs animados durante una conversación. La versión vulnerable de Zoom no comprueba si el GIF compartido se está cargando desde el servicio de GIPHY o no, permitiendo así incluir GIFs de servicios de terceros que se encuentran en servidores controlados por los atacantes. El GIF en cuestión es almacenado por defecto en el sistema de la víctima en una carpeta específica vinculada a la aplicación. Además de esto, debido a que Zoom no sanea correctamente los nombres de los archivos, también podría haber permitido a los atacantes llevar a cabo el mencionado ataque path traversal, haciendo que la aplicación almacene archivos maliciosos con formato de GIF en cualquier ubicación del sistema de la víctima, como por ejemplo, en la carpeta de inicio.

A la segunda vulnerabilidad de ejecución de código remoto se le ha dado el identificador CVE-2020-6110, y se basa en la manera en que la versión vulnerable de Zoom procesa ciertas partes de código en el chat. Según los investigadores, esta funcionalidad está hecha de manera que el usuario tenga la mejor experiencia posible, y una de las extensiones implementadas para lograr este objetivo permite incluir partes del código fuente, lo cual requiere la instalación de un plugin adicional; sin embargo, para recibir dichos fragmentos de código este plugin no es necesario. La funcionalidad de la que hablamos crea un archivo ZIP del fragmento de código compartido antes de enviarlo y luego, de manera automática, lo extrae en el sistema que lo recibe; el proceso de extracción y los contenidos que de ahí se obtienen no son verificados por Zoom, permitiendo así a un atacante enviar binarios a los dispositivos.

Los investigadores añaden lo siguiente:

«De manera adicional, la vulnerabilidad path traversal permite que el archivo ZIP personalizado por el atacante escribir en archivos que se encuentran fuera del directorio generado aleatoriamente».

Investigadores de Cisco Talos

Ambas vulnerabilidades han sido comprobadas en la versión 4.6.10 de Zoom y ya han sido solventadas con el lanzamiento de la versión 4.6.12 de la aplicación.

Para evitar que nuestros dispositivos sean expuestos a este tipo de vulnerabilidades, siempre se recomienda a los usuarios mantener el equipo y sus aplicaciones actualizados a la última versión y, en la medida de lo posible, evitar utilizar aplicaciones que sabemos que pueden estar filtrando nuestra información personal y comprometiendo la integridad de nuestros teléfonos. Además de Zoom existe una gran oferta de aplicaciones de videoconferencia que podrían ser una buena alternativa para aumentar la seguridad de nuestros datos, aunque siempre se ha de tener en cuenta que ningún software es perfecto ni está exento de la posibilidad de ser vulnerado por usuarios maliciosos con los conocimientos necesarios.

Más información:

Two Critical Flaws in Zoom Could’ve Let Attackers Hack Systems via Chat