E’ allarme per l’eventualità che Zoom, se non aggiornato, possa consentire ad hacker malintenzionati di addentrarsi nei sistemi operativi della Mela sfruttando i permessi di root. Scopriamo in cosa consiste la vulnerabilità e come scongiurarla. 
Lo ha reso noto l’esperto di sicurezza e sviluppatore Patrick Wardle durante il recente Def Con tenutosi a Las Vegas Sabato 13 Agosto: Zoom risulta attaccabile nella versione per Mac a causa di una vulnerabilità ai permessi di root, sfruttabile da un hacker malintenzionato per addentrarsi nel sistema operativo.
E Wardle, prima di presentare la vulnerabilità al Def Con, si è premurato di comunicarla anticipatamente a Zoom, che tuttavia non è riuscita a correre ai ripari prima dell’annuncio dell’esperto durante la conferenza pubblica.
Successivamente la compagnia ha emesso un comunicato ufficiale insieme ad un patch che introduce la versione 5.11.5 del servizio di videochiamata e videoconferenza – uno dei più utilizzati al mondo – in grado di escludere la vulnerabilità e quindi di risolvere il problema.
In cosa consiste la vulnerabilità di Zoom scoperta da Wardle
Durante la conferenza, Wardle ha mostrato l’installer di Zoom richieda agli utenti Mac la password di accesso per effettuare le attività di installazione e di disinstallazione. Al contempo, però, per impostazione predefinita le operazioni di aggiornamento sono automatiche e vengono eseguite come utente root, senza richiesta di password e dunque senza necessità che l’utente la inserisca per consentire l’aggiornamento.
Quel che ha scoperto Wardle è che tale operazione è aggirabile facilmente indicando artificialmente il nome del pacchetto lecito, ad esempio con “Zoom Video … Certification Authority Apple Root CA.pkg”, inducendo così Zoom ad effettuare un downgrade ad una versione con falle e bug.
O, peggio, passando ad un pacchetto diverso, in modo da poter ottenere l’accesso di root al sistema. Dunque la parola d’ordine per gli utenti Mac è: aggiornare. E dormire, così, sonni tranquilli.
Mahalo to everybody who came to my @defcon talk “You’re M̶u̶t̶e̶d̶ Rooted” ??
Was stoked to talk about (& live-demo ?) a local priv-esc vulnerability in Zoom (for macOS).
Currently there is no patch ??
Slides with full details & PoC exploit: https://t.co/viee0Yd5o2 #0day pic.twitter.com/9dW7DdUm7P
— patrick wardle (@patrickwardle) August 12, 2022
FONTE: www.hwupgrade.it
