ZOOM Zero Day :: Convenience vs Security
by Volker Weber
This vulnerability allows any website to forcibly join a user to a Zoom call, with their video camera activated, without the user's permission.
On top of this, this vulnerability would have allowed any webpage to DOS (Denial of Service) a Mac by repeatedly joining a user to an invalid call.
Additionally, if you’ve ever installed the Zoom client and then uninstalled it, you still have a localhost web server on your machine that will happily re-install the Zoom client for you, without requiring any user interaction on your behalf besides visiting a webpage. This re-install ‘feature’ continues to work to this day.
Gut gemeint ist das Gegenteil von gut gemacht.
Comments
und ich hab mich schon gefragt wie die das hinbekommen, dass Zoom wirklich überall problemlos läuft, unabhängig von Betriebssystem, Browser, Firewall, Proxies oder lokalen IT Policies. Geht also wohl auf Kosten der Sicherheit...
siehe auch: https://techniktagebuch.tumblr.com/post/186052276052/zwischenstand-2019
Empfehlung (entdeckt alles - Cam, Mic):
https://objective-see.com/products/oversight.html
Andreas, ich halte Zoom nicht per se für unsicher. Die Einladung geht halt etwas zu weit.
Und die Deinstallation geht dafür nicht weit genug - auch nix, das man nicht anderswo auch schon gesehen hat.
Mac hat keine Deinstallation.
Volker, eine Software, die wie Zoom ohne Ankündigung einen dauerhaften Serverdienst installiert, der von beliebigen Web-Seiten per URL mit Parametern angesprochen werden kann, ist per se unsicher.
Wenn diese Software fehlerhaft programmiert wird von einem Unternehmen, das nicht in der Lage ist, innerhalb von 100 Tagen schwere Bugs zu patchen, dann handelt es sich faktisch um Malware.
Kann jemand einschätzen, ob dieser Fix hier ausreichend hilft? Habe es zumindest direkt mit CleanMyMac runtergeschmissen...
https://support.zoom.us/hc/en-us/articles/201361963-New-Updates-for-Mac-OS
Ingo, der Webserver lebt in ~/.zoom – also im (unsichtbaren) Verzeichnis .zoom in Deinem Benutzerordner. Wenn Du das löschst, solltest Du ihn loswerden. Die „zap“ Abteilung dieser Prozedur führt die bekannten Komponenten auf: https://github.com/Homebrew/homebrew-cask/blob/7b1788d6e20471911094f0f2a857aac8e5c06d81/Casks/zoomus.rb
