Se stai usando Zoom, specialmente durante questo periodo difficile per far fronte al tuo impegno scolastico, aziendale o sociale, assicurati di eseguire l’ultima versione del software di videoconferenza molto popolare su computer Windows, macOS o Linux.<\/p>\n\n\n\n
Non si tratta dell’arrivo della funzionalit\u00e0 di crittografia end-to-end pi\u00f9 attesa, che apparentemente, secondo le ultime notizie, ora sarebbe disponibile solo per gli utenti a pagamento. Invece, questo ultimo avviso riguarda due vulnerabilit\u00e0 critiche recentemente scoperte<\/strong>. Secondo i ricercatori, lo sfruttamento riuscito di entrambi i bug richiede una scarsa o minima interazione da parte dei partecipanti alla chat vittima e pu\u00f2 essere eseguito semplicemente inviando messaggi appositamente predisposti tramite la funzione di chat a un individuo o un gruppo. Questa funzione crea un archivio zip dello snippet di codice condiviso prima dell’invio, quindi decomprime automaticamente il file sul sistema del destinatario. Se stai usando Zoom, specialmente durante questo periodo difficile per far fronte al tuo impegno scolastico, aziendale o sociale, assicurati di eseguire l’ultima versione del software di videoconferenza molto popolare su computer Windows, macOS o Linux. Non si tratta dell’arrivo della funzionalit\u00e0 di crittografia end-to-end pi\u00f9 attesa, che apparentemente, secondo le ultime notizie, ora sarebbe […]<\/p>\n","protected":false},"author":11,"featured_media":56054,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"pmpro_default_level":"","footnotes":""},"categories":[1413,387],"tags":[],"class_list":{"0":"post-56361","1":"post","2":"type-post","3":"status-publish","4":"format-standard","5":"has-post-thumbnail","7":"category-attualita","8":"category-guide-sicurezza","9":"pmpro-has-access"},"aioseo_notices":[],"jetpack_featured_media_url":"https:\/\/alground.com\/site\/wp-content\/uploads\/2020\/04\/zoom-evid.jpg","wps_subtitle":"Da quando il lockdown ha costretto tutti al lavoro remoto Zoom \u00e8 diventata una applicazione usata da milioni di persone. Immediatamente \u00e8 diventata oggetto di attacchi","_links":{"self":[{"href":"https:\/\/alground.com\/site\/wp-json\/wp\/v2\/posts\/56361","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/alground.com\/site\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/alground.com\/site\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/alground.com\/site\/wp-json\/wp\/v2\/users\/11"}],"replies":[{"embeddable":true,"href":"https:\/\/alground.com\/site\/wp-json\/wp\/v2\/comments?post=56361"}],"version-history":[{"count":0,"href":"https:\/\/alground.com\/site\/wp-json\/wp\/v2\/posts\/56361\/revisions"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/alground.com\/site\/wp-json\/wp\/v2\/media\/56054"}],"wp:attachment":[{"href":"https:\/\/alground.com\/site\/wp-json\/wp\/v2\/media?parent=56361"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/alground.com\/site\/wp-json\/wp\/v2\/categories?post=56361"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/alground.com\/site\/wp-json\/wp\/v2\/tags?post=56361"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}
I ricercatori di Cybersecurity di Cisco Talos hanno rivelato oggi di aver scoperto due vulnerabilit\u00e0 critiche nel software Zoom, ci\u00f2 avrebbe potuto consentire ad aggressori di hackerare i sistemi dei partecipanti alla chat di gruppo o di un singolo destinatario da remoto.
Entrambi i difetti in questione possono essere sfruttati per scrivere o inserire file arbitrari sui sistemi che eseguono versioni vulnerabili del software di videoconferenza per eseguire codice dannoso.<\/p>\n\n\n\n
La prima vulnerabilit\u00e0 di sicurezza ( CVE-2020-6109 ) <\/strong>risiedeva nel modo in cui Zoom sfrutta il servizio GIPHY, recentemente acquistato da Facebook, per consentire ai suoi utenti di cercare e scambiare GIF animate durante la chat.
I ricercatori hanno scoperto che l’applicazione Zoom non ha verificato se una GIF condivisa si sta caricando o meno dal servizio Giphy, consentendo a un utente malintenzionato di incorporare GIF da un server controllato da un aggressore di terze parti, che eseguono lo zoom in base alla cache di progettazione sul sistema dei destinatari in una cartella specifica associata all’applicazione.
Oltre a ci\u00f2, poich\u00e9 l’applicazione non stava anche controllando i nomi dei file, avrebbe potuto consentire agli aggressori di ottenere l’attraversamento delle directory, inducendo l’applicazione a salvare file dannosi mascherati da GIF in qualsiasi posizione sul sistema della vittima, ad esempio la cartella di avvio.
La seconda vulnerabilit\u00e0 legata all’esecuzione di codice in modalit\u00e0 remota ( CVE-2020-6110 )<\/strong> risiedeva nel modo in cui le versioni vulnerabili degli snippet di codice del processo di applicazione Zoom vengono condivise tramite la chat.
“La funzionalit\u00e0 di chat di Zoom si basa sullo standard XMPP con estensioni aggiuntive per supportare la ricca esperienza utente. Una di quelle estensioni supporta una funzione che include frammenti di codice sorgente con supporto completo per l’evidenziazione della sintassi. La funzione per inviare frammenti di codice richiede l’installazione di un plug-in aggiuntivo, ma non li riceve. Questa funzionalit\u00e0 \u00e8 implementata come estensione del supporto per la condivisione di file<\/em> “, hanno detto i ricercatori .<\/p>\n\n\n\n
Secondo i ricercatori, la funzione di estrazione del file zip di Zoom non convalida il contenuto del file zip prima di estrarlo, consentendo all’aggressore di installare binari arbitrari su computer target.
“Inoltre, un problema del percorso consente al file zip appositamente predisposto di scrivere file all’esterno della directory generata in modo casuale <\/em>“, hanno detto i ricercatori.
I ricercatori di Cisco Talos hanno testato entrambi i difetti sulla versione 4.6.10 <\/strong>dell’applicazione client Zoom e hanno riferito in modo responsabile alla societ\u00e0.
Rilasciato proprio il mese scorso, Zoom ha corretto entrambe le vulnerabilit\u00e0 critiche con la versione 4.6.12 <\/strong>del suo software di videoconferenza per computer Windows, macOS o Linux.<\/p>\n","protected":false},"excerpt":{"rendered":"