ZOOM Vanity URL安全缝隙公告
颁布功夫 2020-07-210x00 缝隙概述
|
CVE ID |
暂无 |
时 间 |
2020-07-21 |
|
类 型 |
|
等 级 |
高危 |
|
远程利用 |
是 |
影响领域 |
|
0x01 缝隙详情
随着COVID-19的发展，，，，，，，越来越多的公司、当局和学堂选取远程办公，，，，，，，Zoom的使用量从2019年12月每天1000万的会议参加者猛增到2020年4月每天3亿多，，，，，，，蕴含“Zoom”的新域名的注册量也爆炸性增长，，，，，，，这批注攻击者将Zoom域名作为钓饵来诱骗受害者，，，，，，，同时还出现了假意Zoom装置法式的恶意软件 。。。。。。
近日，，，，，，，Check Point的钻研人员在Zoom Vanity URL中发现了一个缝隙，，，，，，，公司能够使用Vanity URL创建Zoom约请链接的自界说版本，，，，，，，攻击者可利用该缝隙进行网络垂钓攻击 。。。。。。
钻研人员暗示，，，，，，，URL现实上指向攻击者注册的子域，，，，，，，攻击者旨在诱使受害者提交幼我痛处或其他敏感信息 。。。。。。有两种步骤能够进入会议，，，，，，，会议ID或通过公司自界说Web界面，，，，，，，两种攻击方式如下：
通过会议ID攻击：
? 更改约请URL，，，，，，，例如https://zoom.us/j/###########，，，，，，，改成https://<公司名称> .zoom.us/j/###########；；；；；；；
? 此表，，，，，，，还能够将链接从/j/更改为/s/，，，，，，，https://<公司名称>.Zoom.us/s/7470812100 。。。。。。
通过Zoom Web界面攻击：
另一种步骤是使用公司专用子域Web UI，，，，，，，如图所示：
当用户进入网站并单击“Join”按钮时，，，，，，，将显示以下屏幕：
用户在此输入会议ID并参与Zoom会话 。。。。。。攻击者能够通过诳骗网站诱使受害者参与会话，，，，，，，但受害者并不知路该约请是否来自合法要求 。。。。。。
0x02 措置建议
目前厂商已颁布补丁，，，，，，，下载链接：
https://zoom.us/
0x03 有关新闻
https://securityaffairs.co/wordpress/106120/hacking/zooms-vanity-url-flaw.html?utm_source=rss&utm_medium=rss&utm_campaign=zooms-vanity-url-flaw
0x04 参考链接
https://blog.checkpoint.com/2020/07/16/fixing-the-zoom-vanity-clause-check-point-and-zoom-collaborate-to-fix-vanity-url-issue/
0x05 功夫线
2020-07-21 VSRC颁布缝隙公告
京公网安备11010802024551号