Zoom: una pesadilla de seguridad que nunca acaba

Soy consciente de que, en determinado momento, puede llegar a dar la impresión de que los medios hemos desarrollado cierto gusto por criticar a Zoom, el popular servicio de videoconferencia que, en los últimos meses, ha experimentado un crecimiento exponencial tanto en el volumen de usuarios, como en los problemas de seguridad que ha resultado tener. Pero no, no es «manía de profe», es que no dejan de salir nuevas y preocupantes informaciones al respecto.

La última noticia al respecto viene de los laboratorios de Talos, la división de ciberseguridad de Cisco, donde se encontraron dos nuevas vulnerabilidades que, de ser explotadas, permitirían a un potencial atacante ejecutar código arbitrario en la aplicación cliente del servicio, así como la copia de ficheros en el sistema atacado, comprometiendo así la seguridad de los usuarios de Zoom.

Afortunadamente, las vulnerabilidades fueron detectadas por Talos que, siguiendo el procedimiento establecido en estos casos, informó a Zoom de los problemas de seguridad y, aunque publicó los respectivos CVE, no ha divulgado la naturaleza de los mismos hasta que Zoom se ha puesto manos a la obra para resolver los problemas. Estas son las dos vulnerabilidades:

TALOS-2020-1055 / CVE-2020-6109

Esta vulnerabilidad afecta a la versión 4.6.10 del cliente de Zoom y, en base a la misma, un atacante puede comprometer la seguridad del mismo enviando un mensaje especialmente diseñado a un usuario o grupo objetivo. Se relaciona con el modo en el que esta aplicación gestiona los archivos del tipo gif y una anomalía en la gestión de las rutas de los archivos.

La clave es que, en origen, el cliente de Zoom estaba diseñado para emplear, exclusivamente, imágenes gif del popular servicio Giphy. Sin embargo un empleo exitoso de la vulnerabilidad puede provocar que se carguen archivos (potencialmente peligrosos) con distintos orígenes. Orígenes, claro, definidos por el atacante en el mensaje confeccionado para tal fin. Esto permitiría tanto para realizar un ataque directo como para subir herramientas que aprovechen otras vulnerabilidades, con el fin de escalar privilegios en los dispositivos afectados.

TALOS-2020-1056 / CVE-2020-6110

De nuevo en relación con la gestión de las rutas y urls, y en este caso con el modo en el que el cliente de Zoom procesa los mensajes con fragmentos de código, esta vulnerabilidad permite también la ejecución de código malintencionado en el cliente afectado. Sobre esta vulnerabilidad, al no haber sido totalmente solventada, pues según Talos quedan cambios por hacer en el cliente para eliminar por completo este problema, no se ha divulgado más información.