W skrócie
- Badacz bezpieczeństwa znalazł i wykorzystał luki w Zoomie przy użyciu mniej niż 20 podpowiedzi AI.
- Błędy dotyczyły narzędzia do adnotacji w Zoomie i mogły pozwolić atakującemu na uruchomienie kodu na urządzeniu innego uczestnika.
- Zoom naprawił luki przed ich publicznym ujawnieniem.
AI sprawia, że znajdowanie poważnych luk w zabezpieczeniach jest szybsze i łatwiejsze. Teraz badacz twierdzi, że użył publicznie dostępnych modeli, aby znaleźć luki w platformie do wideokonferencji Zoom i zbudować działający atak w mniej niż 24 godziny.
Nazywając to „Zoomsday” w raporcie opublikowanym we wtorek, izraelska firma zajmująca się cyberbezpieczeństwem A Security poinformowała, że badacz użył mniej niż 20 podpowiedzi AI, aby odkryć luki w narzędziu do adnotacji w Zoomie, które mogły pozwolić osobie na spotkaniu przejąć kontrolę nad urządzeniem innego uczestnika bez żadnego działania ze strony ofiary.
„Gdy niecny kod zostanie uruchomiony na urządzeniu ofiary, atakujący może po cichu wykraść dane osobowe, włączyć mikrofon lub kamerę, aby szpiegować cel, lub zainstalować inne złośliwe oprogramowanie” – napisała firma A Security. „W przypadku dużego połączenia to pokój pełen celów z jednej wiadomości, bez żadnego bezpiecznego miejsca”.
Według A Security atak został przetestowany na aplikacjach Zoom dla systemów Windows, macOS, Linux, Android i iOS. Firma nazwała go „klasy państwowej”, argumentując, że zbudowanie takiego exploita wymagało kiedyś specjalistów, miesięcy pracy i dużego budżetu.
Luki są śledzone jako CVE-2026-53413, CVE-2026-53414 i CVE-2026-53415. CVE to publiczne identyfikatory luk w zabezpieczeniach.
„Exploity takie jak ten to broń. Rządy regulują ich eksport. Organizacje przestępcze płacą za nie miliony” – napisali. „Zdobycie jednego zawsze wymagało infrastruktury państwowej, elitarnych zespołów i miesięcy pracy”.
A Security poinformowała, że exploit umożliwia również atakującym dołączenie do spotkania lub jego zorganizowanie, wybranie dowolnego uczestnika i przejęcie jego maszyny bez „wymaganej akcji ze strony ofiary i bez wizualnej wskazówki świadczącej o naruszeniu”.
„Działało to w obie strony: osoba prezentująca, której system został naruszony, mogła dotrzeć do każdego uczestnika, a każdy uczestnik mógł dotrzeć do prezentera” – napisali.
Firma A Security poinformowała, że zgłosiła pierwszą usterkę firmie Zoom 10 czerwca, dwa dni po jej odkryciu. Zoom opublikował poprawki między 22 czerwca a 20 lipca, ale użytkownicy nadal musieli zaktualizować oprogramowanie, ponieważ zabezpieczenia po stronie serwera nie mogły filtrować złośliwych wiadomości w spotkaniach z szyfrowaniem end-to-end.
„Jak podaliśmy na naszej stronie Zoom Security Bulletin, już rozwiązaliśmy ten problem” – powiedział rzecznik Zoom dla Decrypt. „Zawsze zalecamy użytkownikom aktualizowanie do najnowszej wersji Zoom, aby korzystali z naszych najnowszych funkcji i aktualizacji”.
Raport pojawia się w czasie, gdy narzędzia AI są wykorzystywane w całej branży technologicznej do wykrywania błędów, w tym 271 luk w przeglądarce Mozilla Firefox w kwietniu oraz usterek w sieci Zcash w maju. W tym samym czasie modele AI od OpenAI, Anthropic i Meta wydostały się z zabezpieczeń i włamały się do systemów innych firm.
