Overslaan en naar de inhoud gaan

Zoom-gaten getoond op hackersconferentie

Een security-onderzoeker heeft een reeks beveiligingsgaten in Zoom uit de doeken gedaan op DEF CON 28. Deze kwetsbaarheden waren in april al gemeld aan Zoom. Een week geleden heeft het bedrijf al patches doorgevoerd. Eén van de kwetsbaarheden was een verkeerd geconfigureerde ontwikkelomgeving van Zoom zelf die sinds september vorig jaar niet was geüpdatet.
DEF CON 28
© DEF CON
DEF CON

Beveiligingsexpert Mazin Ahmed, die voorheen bij de end-to-end versleutelde maildienst ProtonMail werkte, heeft videovergaderplatform Zoom uitgebreid aan de tand gevoeld. Daarbij heeft hij diverse bugs en kwetsbaarheden gevonden, die hij heeft gemeld aan Zoom. Daarbij is hij wel op communicatieproblemen gestuit. "Er zijn veel dingen die gedaan hadden kunnen worden, om de melding van kwetsbaarheden bij Zoom te verbeteren", stelt Ahmed.

Toch niet end-to-end encrypted

Nu - op de online gehouden hackersconferentie DEF CON 28 - heeft hij zijn bevindingen openlijk gepresenteerd. Een van de zeker zeven beveiligingsproblemen die Ahmed heeft ontdekt, is dat end-to-end encrypted berichten tussen Zoom-gebruikers op Linux onversleuteld worden opgeslagen door het bedrijf. De chatcommunicatie die volledig versleuteld zou moeten zijn, blijkt in plain-text op disks te staan. Daarnaast heeft hij geheugenlekkage op Zooms productieserver gevonden, blootstelling van de Kerberos-authenticatieserver en meer slordigheden met impact op de security.

Ahmed trekt de kritische conclusie dat schaduw-IT kenmerkend is voor publieke diensten bij Zoom. Sommige instances van servers die de videovergaderfirma gebruikt, krijgen geen regelmatige updates en blijken bovendien publiekelijk toegankelijk te zijn. Zo vond hij een development instance die al minstens 10 maanden geen updates heeft gekregen. Mogelijk is die ontwikkelomgeving ook naar de productieomgeving van een Zoom-klant gepushed, stelt de hacker voorzichtig.

Shadow-IT

"Dit betekent dat als er een kwetsbaarheid was die is gepatcht in productie, dat die nog te misbruiken valt in deze shadow IT instances." Hij concludeert dit aan de hand van buildnummers en buildtijd die Zoom hanteert. Een screenshot dat de security-onderzoeker op 14 juli dit jaar heeft gemaakt, toont een build van 10 september vorig jaar.

Hierbij heeft hij ook een verkeerd geconfigureerde en daardoor toegankelijk Nginx-statuspagina gevonden. Op basis daarvan kon de hacker deduceren dat deze instance niet veel gebruikt wordt en dus geschikt is voor voorzichtige verkenning om een hackaanval op te zetten. Potentieel heeft zo'n relatief verwaarloosde ontwikkel-instance minder logging triggers in vergelijking met de Zoom.us web-app die in productie is, legt Ahmed uit in zijn blogpost.

De op DEF CON gegeven presentatie van Zoom-kwetsbaarheden is op YouTube te bekijken:

Reacties

Om een reactie achter te laten is een account vereist.

Inloggen Word abonnee

Bevestig jouw e-mailadres

We hebben de bevestigingsmail naar %email% gestuurd.

Geen bevestigingsmail ontvangen? Controleer je spam folder. Niet in de spam, klik dan hier om een account aan te maken.

Er is iets mis gegaan

Helaas konden we op dit moment geen account voor je aanmaken. Probeer het later nog eens.

Maak een gratis account aan en geniet van alle voordelen:

Heb je al een account? Log in

Maak een gratis account aan en geniet van alle voordelen:

Heb je al een account? Log in