Lỗi Zoom Cho Phép Chiếm Quyền Thiết Bị Qua Tính Năng Chú Thích Bị Vá

Nhóm nghiên cứu bảo mật A Security cho biết họ phát hiện lỗi đầu tháng Sáu và tạo được khai thác hoạt động bằng cách dùng dưới 20 câu lệnh với các model AI công khai. Họ đăng thông tin này trong một bài viết trên blog và báo chí đưa tin hôm thứ Ba.

Lỗ hổng nằm ở giao thức hỗ trợ chức năng chú thích thời gian thực khi chia sẻ màn hình. Với khai thác này, kẻ tấn công có thể tham gia hoặc chủ trì cuộc họp và chạy mã độc trên thiết bị nạn nhân, cho phép đánh cắp dữ liệu, bật camera hoặc micro, hoặc cài phần mềm độc hại, theo A Security.

A Security cho biết tấn công không yêu cầu nạn nhân tương tác và không để lại dấu hiệu trực quan cho thấy thiết bị bị xâm phạm. Họ nhận định việc dùng AI giúp rút ngắn đáng kể thời gian và nguồn lực để tạo khai thác so với trước đây.

Zoom đã phát hành bản vá cho vấn đề hôm thứ Ba, bao gồm sửa trên cả phía máy chủ và ứng dụng khách, và thông báo lỗi ảnh hưởng tới các hệ điều hành Windows, macOS, Linux, iOS và Android.