ZOOM Vanity URL清静误差通告
宣布时间 2020-07-210x00 误差概述
|
CVE ID |
暂无 |
时 间 |
2020-07-21 |
|
类 型 |
|
等 级 |
高危 |
|
远程使用 |
是 |
影响规模 |
|
0x01 误差详情
随着COVID-19的生长，， ，，，，，越来越多的公司、政府和学校接纳远程办公，， ，，，，，Zoom的使用量从2019年12月天天1000万的聚会加入者猛增到2020年4月天天3亿多，， ，，，，，包括“Zoom”的新域名的注册量也爆炸性增添，， ，，，，，这批注攻击者将Zoom域名作为诱饵来诱骗受害者，， ，，，，，同时还泛起了冒充Zoom装置程序的恶意软件。。。。。
克日，， ，，，，，Check Point的研究职员在Zoom Vanity URL中发明了一个误差，， ，，，，，公司可以使用Vanity URL建设Zoom约请链接的自界说版本，， ，，，，，攻击者可使用该误差举行网络垂纶攻击。。。。。
研究职员体现，， ，，，，，URL现实上指向攻击者注册的子域，， ，，，，，攻击者旨在诱使受害者提交小我私家凭证或其他敏感信息。。。。。有两种要领可以进入聚会，， ，，，，，聚会ID或通过公司自界说Web界面，， ，，，，，两种攻击方法如下：
通过聚会ID攻击：
? 更改约请URL，， ，，，，，例如https://zoom.us/j/###########，， ，，，，，改成https://<公司名称> .zoom.us/j/###########；；；；
? 别的，， ，，，，，还可以将链接从/j/更改为/s/，， ，，，，，https://<公司名称>.Zoom.us/s/7470812100。。。。。
通过Zoom Web界面攻击：
另一种要领是使用公司专用子域Web UI，， ，，，，，如图所示：
当用户进入网站并单击“Join”按钮时，， ，，，，，将显示以下屏幕：
用户在此输入聚会ID并加入Zoom会话。。。。。攻击者可以通过诈骗网站诱使受害者加入会话，， ，，，，，但受害者并不知道该约请是否来自正当请求。。。。。
0x02 处置惩罚建议
现在厂商已宣布补�。。。。。� ，，，，，下载链接：
https://zoom.us/
0x03 相关新闻
https://securityaffairs.co/wordpress/106120/hacking/zooms-vanity-url-flaw.html?utm_source=rss&utm_medium=rss&utm_campaign=zooms-vanity-url-flaw
0x04 参考链接
https://blog.checkpoint.com/2020/07/16/fixing-the-zoom-vanity-clause-check-point-and-zoom-collaborate-to-fix-vanity-url-issue/
0x05 时间线
2020-07-21 VSRC宣布误差通告
京公网安备11010802024551号