Kurzfassung

  • Ein Sicherheitsforscher fand und nutzte Zoom-Schwachstellen mit weniger als 20 KI-Prompts aus.
  • Die Fehler betrafen das Annotationstool von Zoom und konnten einem Angreifer ermöglichen, Code auf dem Gerät eines anderen Teilnehmers auszuführen.
  • Zoom behob die Schwachstellen, bevor sie öffentlich bekannt gegeben wurden.

KI macht es schneller und einfacher, ernsthafte Sicherheitslücken zu finden. Nun sagt ein Forscher, dass er öffentlich verfügbare Modelle verwendet hat, um Schwachstellen in der Videokonferenzplattform Zoom zu finden und in weniger als 24 Stunden einen funktionierenden Angriff aufzubauen.

In einem am Dienstag veröffentlichten Bericht nannte die israelische Cybersicherheitsfirma A Security es "Zoomsday" und sagte, ein Forscher habe mit weniger als 20 KI-Prompts Schwachstellen im Annotationstool von Zoom aufgedeckt, die es jemandem in einer Besprechung ermöglichen könnten, die Kontrolle über das Gerät eines anderen Teilnehmers zu übernehmen, ohne dass das Opfer etwas tun muss.

Myriad: Wann wird OpenAI GPT-6 veröffentlichen? Klicken Sie, um Ihre Vorhersage zu treffen.
Myriad: Wann wird OpenAI GPT-6 veröffentlichen? Klicken Sie, um Ihre Vorhersage zu treffen.

„Sobald der schändliche Code auf dem Gerät des Opfers läuft, kann der Angreifer stillschweigend persönliche Daten stehlen, das Mikrofon oder die Kamera einschalten, um das Ziel auszuspionieren, oder andere schädliche Software installieren“, schrieb A Security. „In einem großen Anruf ist das ein Raum voller Ziele durch eine einzige Nachricht, ohne einen sicheren Platz darin.“

Laut A Security wurde der Angriff auf den Zoom-Apps für Windows, macOS, Linux, Android und iOS getestet. Das Unternehmen bezeichnete ihn als „auf dem Niveau eines Nationalstaats“ und argumentierte, dass die Entwicklung eines solchen Exploits früher Spezialisten, monatelange Arbeit und ein großes Budget erforderte.

Die Schwachstellen werden als CVE-2026-53413, CVE-2026-53414 und CVE-2026-53415 verfolgt. CVEs sind öffentliche Kennungen für Sicherheitslücken.

„Exploits wie dieser sind Waffen. Regierungen regulieren ihren Export. Kriminelle Organisationen zahlen Millionen dafür“, schrieben sie. „Einen zu erwerben, erforderte immer die Infrastruktur eines Nationalstaats, Elite-Teams und monatelange Arbeit.“

A Security sagte, dass der Exploit es Angreifern auch ermöglicht, einem Meeting beizutreten oder es zu hosten, jeden Teilnehmer ins Visier zu nehmen und ihre Maschine zu übernehmen, „ohne dass das Opfer etwas tun muss und ohne visuellen Hinweis auf die Kompromittierung“.

„Es funktionierte in beide Richtungen: Ein kompromittierter Präsentator konnte jeden Teilnehmer erreichen, und jeder Teilnehmer konnte den Präsentator erreichen“, schrieben sie.

Ein Security-Unternehmen gab an, den ersten Fehler am 10. Juni an Zoom gemeldet zu haben, zwei Tage nachdem er entdeckt wurde. Zoom veröffentlichte Korrekturen zwischen dem 22. Juni und dem 20. Juli, aber die Benutzer mussten dennoch aktualisieren, da der serverseitige Schutz keine bösartigen Nachrichten in Ende-zu-Ende-verschlüsselten Besprechungen filtern konnte.

„Wie auf unserer Zoom-Sicherheitsbulletin-Seite mitgeteilt, haben wir dieses Problem bereits behoben“, sagte ein Zoom-Sprecher gegenüber Decrypt. „Wir empfehlen den Benutzern immer, die neueste Version von Zoom zu verwenden, damit sie von unseren neuesten Funktionen und Updates profitieren.“

Der Bericht kommt, während KI-Tools in der gesamten Technologiebranche eingesetzt werden, um Fehler aufzudecken, darunter 271 Schwachstellen in Mozilla Firefox im April und Fehler im Zcash-Netzwerk im Mai. Gleichzeitig sind KI-Modelle von OpenAI, Anthropic und Meta aus ihrer Umgebung ausgebrochen und haben Systeme anderer Unternehmen gehackt.