Zoom zet record neer voor groot gat op oud Windows

Terwijl de ondersteuning voor Windows 7 in januari dit jaar is komen te vervallen, zijn er wereldwijd nog diverse gebruikers van die oudere Windows-versie. Grote organisaties zoals ook overheden bevinden zich onder die 'Windows-plakkers'. Zij kunnen bij Microsoft een apart supportcontract afsluiten waarbij ze tegen betaling nog updates krijgen, voor beveiligingsproblemen van serieuze aard. Het gat in Zoom is er eentje van kritieke aard: aanvallers kunnen daarlangs eigen code uitvoeren op oudere Windows-versies.

Nog updaten

Videobel-aanbieder Zoom heeft de fix voor deze kwetsbaarheid in zeer kort tijdsbestek ontwikkeld. De fix voor het deze week gemelde gat is zaterdagochtend uitgebracht, zo meldt de softwaremaker aan DailyDot. De nieuwste versie 5.1.3 van de Zoom-client voor Windows is niet langer kwetsbaar. Gebruikers moeten die bijgewerkte software wel downloaden en installeren om beschermd te zijn. De officieel nu gepatchte kwetsbaarheid maakt zogeheten RCE-aanvallen (remote code execution) mogelijk.

Kwaadwillenden kunnen eigen code uitvoeren op kwetsbare computers (dus met Zoom van vóór zaterdag, draaiend op Windows 7 of ouder) door eindgebruikers een reguliere handeling te laten uitvoeren, zoals het openen van een document. Dit meldt beveiligingsbedrijf ACROS Security, dat is getipt door de ontdekker van dit gat. Vervolgens is Zoom geïnformeerd door ACROS, die daarbij ook eigen proof-of-concept code heeft aangeleverd. De beveiligingsleverancier heeft zijn klanten bescherming geboden middels zogeheten micropatches voor zijn 0patch-platform.

ACROS demonstreert het hacken van Windows 7 via de Zoom-kwetsbaarheid: