Баг демонстрации экрана Zoom позволял захватывать устройства участников

Исследователи из компании A Security обнаружили уязвимость в видеоконференц-платформе Zoom, которая позволяла любому участнику звонка захватить контроль над устройством другого пользователя. Проблема была связана с функцией аннотаций при демонстрации экрана. Для поиска уязвимости специалисты использовали публично доступные модели ИИ: потребовалось менее 20 запросов, чтобы найти изъян и создать рабочий эксплойт. Атака была полностью незаметной — жертва не совершала никаких действий и не видела признаков вторжения.

Уязвимости затрагивали все операционные системы, поддерживаемые Zoom: Windows, macOS, Linux, iOS и Android. Компания уже выпустила исправления как для серверов, так и для клиентских приложений. Соучредитель A Security Омер Гулль отметил, что подобные инциденты демонстрируют стремительную демократизацию хакерских инструментов: раньше на поиск такой уязвимости команде из пяти человек потребовалось бы около шести месяцев, теперь же достаточно нескольких десятков промптов. Он подчеркнул, что Zoom является привлекательной целью, поскольку люди доверяют сервису и не ждут угрозы при подключении к звонку.

Второй сооснователь компании, Йосси Торати, добавил, что в худшем случае злоумышленник может получить контроль над компьютером сотрудника компании, а затем использовать его учетные данные для перемещения внутри инфраструктуры предприятия. По его словам, если раньше безопасность называли игрой в кошки-мышки, то с распространением ИИ-охоты за уязвимостями эта гонка превратилась в настоящую гонку вооружений.