Компания Zoom устранила критическую уязвимость, позволявшую злоумышленникам захватывать контроль над устройствами участников видеозвонков. Об этом во вторник сообщили исследователи из A Security, отметив, что для обнаружения бага потребовалось менее 20 запросов к публично доступным ИИ-моделям.
Уязвимость касалась функции аннотаций Zoom — инструмента, позволяющего рисовать поверх экрана во время демонстрации в конференции. Используя этот баг, атакующий мог присоединиться к встрече или создать её и запустить вредоносный код на устройствах жертв.
Полученный доступ давал возможность красть данные, включать камеру и микрофон, а также устанавливать вредоносное ПО. Для срабатывания атаки не требовалось никаких действий со стороны жертвы, а признаков компрометации системы не было.
«Раньше создание рабочего эксплойта против такой защиты было задачей уровня спецслужб: элитные команды, месяцы работы, бюджеты, которые государства регулируют как оружие», — пишет исследователь безопасности A Security Идан Левкович.
Он подчеркнул, что специалистам компании удалось справиться с задачей всего за один день, используя ИИ-агента и модели, доступные сегодня любому желающему.
Zoom выпустила исправление уязвимости во вторник. Проблема затрагивала версии приложения для Windows, macOS, Linux, Android и iOS.