Zoom for Mac v5.11.3より前のインストーラーにroot権限昇格の脆弱性が発見されたとして、Zoomがアップデートを呼びかけるも、再び問題が確認される。

　Zoom for Mac v5.11.3より前のインストーラーにroot権限昇格の脆弱性が発見されたとして、Zoomがアップデートを呼びかけるも、再び問題が発見され、完全なパッチには至っていないそうです。詳細は以下から。

　Zoom Video Communications, Incは現地時間2022年07月18日、インドネシア語をサポートし、ミーティングやウェビナー機能を強化したMac用デスクトップクライアント「Zoom Meetings for Mac v5.11.3」をリリースしましたが、

Zoom for Mac v5.11.3のリリースノート

08月12日に同社のSecurity Bulletinsを更新し、最新のアップデートで修正した危険度”High”の脆弱性5件、”Critical”の脆弱性1件が修正されたとしてユーザーに対し最新のバージョンへアップデートするように呼びかけており、

The Zoom Client for Meetings for MacOS (Standard and for IT Admin) before version 5.11.3 contain a vulnerability in the package signature validation during the update process. A local low-privileged user could exploit this vulnerability to escalate their privileges to root.

Security Bulletin – Zoom

そのうち1つ”CVE-2022-28751″が、Zoom Meetings for Macアップデート時のインストーラーの脆弱性で、この脆弱性を利用することで悪意のあるローカルユーザーがroot権限に昇格できてしまうと発表しています。

Zoomの脆弱性 2022

　この脆弱性CVE-2022-28751を発見し、Zoomに報告したObjective-SeeのPatrick Wardleさんは、08月12日に米ラスベガスで行われたDef Conで、この脆弱性と04月には発見した脆弱性CVE-2022-22781の詳細について発表しましたが、

A few weeks before the Def Con event, Wardle says Zoom issued a patch that fixed the bugs that he had initially discovered. But on closer analysis, another small error meant the bug was still exploitable.

The Zoom installer let a researcher hack his way to root access on macOS – The Verge

Wardleさんによると、前者のCVE-2022-28751に対してのZoomのパッチにはミスが有り、Zoom Meetings for Macのアップデートに使用するディレクトリは所有者がrootであるものの、upgrade.pkgは所有者がuserで、これを利用して引き続き権限昇格が可能な状態にあるとコメントしています。

　WardleさんはThe Vergeのインタビューの中で、この情報を公開することでZoomが早急に対応することを望んでいるとコメントしており、The VergeはZoomにもコメントを求めたものの、返事は得られなかったそうです。

Update package downgrade in Zoom Client for Meetings for MacOS

• Severity: High
• CVSS Score: 8.8
• CVSS Vector String: CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H
• Description: The Zoom Client for Meetings for MacOS (Standard and for IT Admin) before version 5.11.3 contain a vulnerability in the package signature validation during the update process. A local low-privileged user could exploit this vulnerability to escalate their privileges to root.
  Users can help keep themselves secure by applying current updates or downloading the latest Zoom software with all current security updates from https://zoom.us/download.
• Affected Products: Zoom Client for Meetings for MacOS (Standard and for IT Admin) before version 5.11.3
• Source: Reported by Patrick Wardle of Objective-See

タイムライン

• 2022年04月27日 : CVE-2022-22781
  Zoom Meeting for Mac v5.9.6より前のバージョンで、アップデート処理中にパッケージのバージョンが適切にチェックされず、悪意のあるユーザーにより安全でないバージョンのZoom Meetingにアップデートされてしまう不具合。

• 2022年07月18日 : CVE-2022-28751
  Zoom Meeting for Mac v5.11.3より前のバージョンで、アップデート処理中にインストーラーの検証が不十分で、悪意のあるユーザーがroot権限に昇格してしまう不具合。(未修正)

• Security Bulletin – Zoom
• The Zoom installer let a researcher hack his way to root access on macOS – The Verge