Las vulnerabilidades de Zoom vuelven a hacerse eco al descubrirse que dos fallos críticos en la aplicación han permitido a usuarios malintencionados vulnerar los sistemas de los usuarios de Zoom a través de su funcionalidad de chat.

¿Que es un "Path traversal"?

Un "Path traversal" consiste en explotar una vulnerabilidad informática que ocurre cuando no existe suficiente seguridad en cuanto a la validación de un usuario, permitiéndole acceder a cualquier tipo de directorio superior sin ningún control.

Ambas vulnerabilidades pueden ser explotadas con poca o ninguna interacción por parte de los usuarios que se convirtiesen en víctimas del ataque, y se pueden ejecutar enviando mensajes personalizados a través del chat de la aplicación a un usuario particular o a todo un grupo. Ambas vulnerabilidades son del ataque ya antes mencionado "Path Traversal".

La primera vulnerabilidad se ha identificado con el código CVE-2020-6109 y se encontraba en el servicio GIPHY de Zoom para permitir a los usuarios buscar e intercambiar GIFs animados durante una conversación. La versión vulnerable de Zoom no comprueba si el GIF compartido se está cargando desde el servicio de GIPHY o no. El GIF en cuestión es almacenado por defecto en el sistema de la víctima en una carpeta específica vinculada a la aplicación.

La segunda vulnerabilidad de ejecución de código remoto se basa en la manera en que la versión vulnerable de Zoom procesa ciertas partes de código en el chat. Esta funcionalidad está hecha de manera que el usuario tenga la mejor experiencia posible, y una de las extensiones implementadas para lograr este objetivo permite incluir partes del código fuente, lo cual requiere la instalación de un plugin adicional.

Para recibir dichos fragmentos de código este plugin no es necesario. La funcionalidad de la que hablamos crea un archivo ZIP del fragmento de código compartido antes de enviarlo y luego, de manera automática, lo extrae en el sistema que lo recibe; el proceso de extracción y los contenidos que de ahí se obtienen no son verificados por Zoom, permitiendo así a un atacante enviar binarios a los dispositivos.

Ambas vulnerabilidades han sido comprobadas en la versión 4.6.10 de Zoom y ya han sido solventadas con el lanzamiento de la versión 4.6.12 de la aplicación.

Para evitar que nuestros dispositivos sean expuestos a este tipo de vulnerabilidades, siempre se recomienda mantener el equipo y sus aplicaciones actualizados a la última versión y evitar utilizar aplicaciones que sabemos que pueden estar filtrando nuestra información personal y comprometiendo la integridad de nuestros teléfonos.

Fuente: Una al Día