Un chercheur en sécurité a trouvé un moyen pour un attaquant de tirer parti de la version macOS de Zoom pour accéder à l’ensemble du système d’exploitation.

Les détails de l’exploit ont été révélés dans une présentation du spécialiste de la sécurité Mac Patrick Wardle lors de la conférence de piratage Def Con à Las Vegas vendredi. Zoom a déjà corrigé certains des bogues impliqués, mais le chercheur a également déposé une vulnérabilité non corrigée qui affecte toujours les systèmes actuellement.

L’exploit fonctionne en ciblant le programme d’installation de l’application Zoom, qui doit être exécuté avec des autorisations utilisateur spéciales pour installer ou supprimer l’application Zoom principale d’un ordinateur. Bien que le programme d’installation demande à l’utilisateur d’entrer son mot de passe lors de l’ajout de l’application au système pour la première fois, Wardle a constaté qu’une fonction de mise à jour automatique fonctionnait en permanence en arrière-plan avec les privilèges root.

Lorsque Zoom publiait une mise à jour, la fonction de mise à jour installait le nouveau package après avoir vérifié que Zoom l’avait signé de manière cryptographique. Mais un bogue dans la façon dont la méthode de vérification a été implémentée signifiait que donner au programme de mise à jour n’importe quel fichier portant le même nom que le certificat de signature de Zoom serait suffisant pour réussir le test, de sorte qu’un attaquant pourrait substituer n’importe quel type de programme malveillant et faire exécuter le programme de mise à jour. avec des privilèges élevés.

Le résultat est une attaque par élévation de privilèges, qui suppose qu’un attaquant a déjà obtenu un accès initial au système cible, puis emploie un exploit pour obtenir un niveau d’accès supérieur. Dans ce cas, l’attaquant commence avec un compte utilisateur restreint mais passe à un type d’utilisateur plus puissant, appelé “super utilisateur” ou “root”, lui permettant d’ajouter, de supprimer ou de modifier n’importe quel fichier sur la machine.

Wardle est le fondateur de la fondation Objective-See, une organisation à but non lucratif qui crée des outils de sécurité open source pour macOS. Plus tôt lors de la conférence Black Hat sur la cybersécurité qui s’est tenue la même semaine que Def Con, Wardle détaillé l’utilisation non autorisée d’algorithmes extraits de son logiciel de sécurité open source par des entreprises à but lucratif.

Conformément aux protocoles de divulgation responsables, Wardle a informé Zoom de la vulnérabilité en décembre de l’année dernière. À sa grande frustration, il dit qu’un premier correctif de Zoom contenait un autre bogue qui signifiait que la vulnérabilité pouvait encore être exploitée d’une manière légèrement plus détournée, il a donc divulgué ce deuxième bogue à Zoom et a attendu huit mois avant de publier la recherche.

“Pour moi, c’était un peu un problème parce que je n’ai pas seulement signalé des bogues à Zoom, j’ai également signalé des bogues et comment corriger le code”, a déclaré Wardle. le bord lors d’un appel avant la conversation. “C’était donc vraiment frustrant d’attendre, quoi, six, sept, huit mois, sachant que toutes les versions Mac de Zoom étaient sur les ordinateurs d’utilisateurs vulnérables.”

Quelques semaines avant l’événement Def Con, Wardle a déclaré que Zoom avait publié un correctif qui corrigeait les bogues qu’il avait initialement découverts. Mais après une analyse plus approfondie, un autre petit bogue signifiait que le bogue était toujours exploitable.

Dans la nouvelle version du programme d’installation de la mise à jour, le package à installer est d’abord déplacé vers un répertoire appartenant à l’utilisateur “root”. En général, cela signifie qu’aucun utilisateur sans autorisation root ne peut ajouter, supprimer ou modifier des fichiers dans ce répertoire. Mais en raison d’une subtilité des systèmes Unix (dont macOS fait partie), lorsqu’un fichier existant est déplacé d’un autre emplacement vers le répertoire racine, il conserve les mêmes autorisations de lecture et d’écriture qu’il avait auparavant. Donc, dans ce cas, il peut toujours être modifié par un utilisateur normal. Et parce qu’il peut être modifié, un utilisateur malveillant peut toujours échanger le contenu de ce fichier avec un fichier de son choix et l’utiliser pour devenir root.

Bien que ce bogue soit actuellement en direct sur Zoom, Wardle dit qu’il est très facile à corriger et il espère que le fait d’en parler publiquement “graissera les rouages” pour que l’entreprise puisse s’en occuper le plus tôt possible.

Dans une déclaration à le bordMatt Nagel, responsable des relations publiques de la sécurité et de la confidentialité de Zoom, a déclaré : “Nous sommes conscients de la vulnérabilité récemment signalée dans le programme de mise à jour automatique de Zoom pour macOS et nous travaillons avec diligence pour la corriger.”

Mise à jour le 12 août, 23 h 09 HE : Article mis à jour avec la réponse de Zoom.