Mac向けZoomアプリがアップデート。自動更新機能に含まれる脆弱性を修正

 
macOS向けビデオ会議アプリ「Zoom」がアップデートされ、自動アップデート機能に影響するセキュリティの脆弱性が修正されました。

自動アップデート機能の脆弱性を修正

Zoomは現地時間8月13日、同社のセキュリティ情報ページにおいて、macOS向けアプリのバージョン5.7.3からバージョン5.11.3では、自動更新プロセスに脆弱性が含まれており、権限の低いユーザーが管理者以上の権限を持つルートユーザー権限を取得できる可能性があると発表しています。この脆弱性は、最新バージョン5.11.5で修正されています。
 
自動アップデート機能に含まれる脆弱性は、12日に米ネバダ州ラスベガスで開催されたハッカーカンファレンス「DEF CON」で、Macのセキュリティ研究者であるパトリック・ワードル氏が明らかにしたものです。
 
このエクスプロイト（脆弱性利用型不正プログラム）は、Zoomのインストーラーを標的にすることで機能します。アプリをインストールしたり削除するためには、管理者権限でそれらを実行する必要があります。インストーラーは、アプリを最初にインストールする際にパスワードの入力を要求しますが、ワードル氏はインストーラーの自動更新機能が管理者権限でバックグラウンドで継続的に実行されていることを発見しました。

脆弱性の詳細

Zoomがアップデートを公開すると、アップデーター機能はZoomによって暗号署名されていることを確認した後に新しいパッケージをインストールします。しかし、この確認プロセスにバグが存在したため、Zoomの署名証明書と同じ名前のファイルをアップデーターに加えるだけで、暗号署名の確認をクリアできてしまいます。これにより、攻撃者はあらゆる種類のマルウェアプログラムを代用して、昇格した権限でアップデーターを実行させることが可能になります。その結果、特権昇格攻撃が発生します。
 
この攻撃は、攻撃者が既に対象システムに初期アクセス権を取得していることを前提とし、さらに高いレベルのアクセス権を取得するためにエクスプロイトを使用します。この場合、攻撃者は制限付きのユーザーアカウントであっても、管理者（スーパーユーザー）やルートユーザー権限を取得できるようになり、マシン上のあらゆるファイルを追加、削除、または変更することができるようになります。
 
 
Source:Zoom,The Verge via MacRumors
(m7000)