En skärmdump av Zoom: s utskrift funktionen.
För att Zooma, de träffar bara fortsätter att komma. Den senaste är ankomsten av en lång-tal fjärrkörning av kod (RCE) utnyttja som sägs vara hyste i kontroversiella lokal webbserver som hade varit installerat på Mac-datorer för att undvika ett extra klick för användare.
De forskare som började sammanbrottet för att Zooma, Jonathan Leitschuh, sade på Twitter på fredagen att ett RCE nu funnits för det.
“Att @zoom_us daemon (dolda web server) är nu känd för att ha Fjärrkörning av Kod!” skrev han.
“Mac Admins: se till att Zoom är uppdaterad eller att demonen bort!
“Du är sårbar om du har avinstallerat Zoom-programmet från din dator utan att döda ZoomOpener processen och sedan ta bort `~/.zoomus ” katalogen.”
Utnyttja ligger hanteras CVE-2019-13567 etikett.
En twitter-användare visade upp utnyttja i praktiken.
På torsdag, Apple rullade ut en tyst uppdatering som dödades Zooma med hjälp av dess borttagning av skadlig programvara-infrastruktur.
I början av furor, Zooma försvarade användningen av webb-servern, säger till ZDNet i ett uttalande att det var en “legitim lösning till en dålig användarupplevelse, göra det möjligt för våra användare att ha en sömlös, ett-klick-för-att-delta i möten, som är vår viktigaste produkt konkurrensfördel”.
Följande dag, Zooma sa att det skulle gå tillbaka sin lokala webbservern har stöd i en korrigeringsfil beredd på tisdag kväll.
Zooma berättade ZDNet tidigare dess förändring i kursen var ett svar på kundernas feedback, inte av säkerhetsskäl.
“Det var aldrig fjärrkörning av kod identifieras,” sade företaget för två dagar sedan.
“Zoom beslutat att ta bort den webbserver baserad på feedback från den säkerhet som samhället och våra användare.”
Leitschuh sa i början av veckan användningen av den lokala servern var en grundläggande säkerhetsproblem och webbplatser bör inte kommunicera med tillämpningar på ett sådant sätt.
“Låt mig börja med att säga ha en installerad app som kör en webbserver på min lokala dator med en helt odokumenterad API känns otroligt luddigt för mig,” skrev han.
“För det andra det faktum att någon webbplats som jag besöker kan interagera med denna web-server som körs på min maskin är en stor röd flagga för mig som en Säkerhet Forskare.”
Relaterade Täckning
Apple uppdaterar dödar Zoom web server
Zooma VD säger att företaget missbedömde situationen som har rullat in på sin tredje dag.
Zooma vänder naturligtvis att döda Mac lokal webbserver
Mindre än ett dygn efter att säkerhetskopiera sin strategi för att komma runt Safari restriktioner på Mac, Zooma lokala webbservern finns inte mer.
Zooma försvarar användningen av lokala webbservern i Mac-datorer efter security report
Lokala webbserver kommer också i uppgift att installera Zoom om en användare tar bort programmet och ansluter sig till ett möte.
Zoom är IPO öppnar en häpnadsväckande $65 per aktie
Cloud enterprise video kommunikation bolaget trummade upp stora marknaden spänning som en Silicon Valley unicorn som faktiskt vände en vinst.
Zooma rapporter starka Q1, ups outlook, lägger till svullnad kundbas
Zooma BÖRSINTRODUKTION var varmt och bolagets resultat för första kvartalet var inte långt bakom.
Relaterade Ämnen:
Säkerhet-TV
Hantering Av Data
CXO
Datacenter