Họp video công việc thường 평온: một bên trình bày, nhiều người nghe (hoặc cười), một vài bị mất tiếng. Nhưng có loại "hứng thú" không mong muốn: bug Zoom chiếm quyền điều khiển.
Hãy tưởng tượng: kẻ không được phép (hacker) chiếm điều khiển màn hình trong cuộc họp Zoom, gửi tin nhắn khiêu dâm, không phù hợp cho người tham gia khác. Đây là sự cố gần đây của Zoom do lỗ hổng trong app desktop cho dịch vụ video chat.
Tin tốt: Zoom đã vá thành công lỗ hổng nghiêm trọng này.
Chi Tiết Lỗ Hổng Zoom
Chuyên gia an ninh mạng David Wells (Tenable) phát hiện lỗ hổng trong app desktop Zoom, mô tả nó cho phép kẻ tấn công chiếm điều khiển màn hình người dùng bất ngờ và gửi tin nhắn thay mặt họ. Tấn công cũng kick người khác khỏi cuộc họp!
có thể gây ra sự cố hệ thống hoặc làm chậm hiệu suất.
Vấn đề liên quan đến gói UDP – kỹ thuật hack quen thuộc trên thiết bị IoT. Với bug Zoom, mọi lệnh app Windows, Mac, Linux chặn được đều được coi là hợp lệ. Điều này cho phép kẻ tấn công gửi mã độc và tự do làm mọi thứ: từ tham gia cuộc gọi riêng tư đến kick người tham gia khác.
"Điều này cho phép kẻ tấn công tạo và gửi gói UDP được hiểu là tin nhắn được xử lý từ kênh TCP đáng tin cậy do server Zoom ủy quyền," blog Tenable giải thích.
Lỗ hổng app Zoom cho phép kẻ tấn công/người tham gia độc hại:
- Chiếm quyền điều khiển màn hình, bỏ qua quyền hạn, gửi phím bấm và di chuyển chuột để kiểm soát desktop hoàn toàn.
- Giả mạo tin nhắn chat, mạo danh người tham gia hợp pháp.
- Kick người tham gia khỏi cuộc gọi mà không cần là host.
Theo bài viết, lỗi do xác thực tin nhắn không đúng cách. Kẻ tấn công chỉ cần biết địa chỉ IP server Zoom để khai thác.
Lỗ hổng "Zoom Client for Meetings Message Spoofing Vulnerability" có mã CVE-2018-15715. Ảnh hưởng các phiên bản:
- Windows 10/11, Zoom 4.1.33259.0925
- macOS 10.13, Zoom 4.1.33259.0925
- Ubuntu 14.04, Zoom 2.4.129780.0915
Phản Ứng Nhanh Của Zoom
Zoom (có ~750.000 công ty dùng dịch vụ) hành động ngay sau khi Wells báo lỗ hổng. Vá server để bảo vệ người dùng khỏi tấn công tiềm ẩn.
Ngoài ra, phát hành bản cập nhật cho app Windows, Mac, Linux. Phiên bản mới: 4.1.34814.1119 (Windows) và 4.1.34801.1116 (Mac OS). Người dùng phải tự cập nhật thủ công để được bảo vệ khỏi việc bị chiếm quyền giữa cuộc gọi.
Zoom cam kết bảo vệ thông tin qua mã hóa khi đăng nhập qua web, phần mềm, hoặc app. Dưới đây là mẹo bổ sung cho Zoom an toàn:
- Không lưu mật khẩu dạng plain text – mở cơ hội cho malware truy cập file.
- Khi thảo luận chủ đề nhạy cảm, dùng mật khẩu phòng họp để chặn "khách bất ngờ". Lớp bảo vệ này hữu ích cho phòng họp vĩnh viễn mà cựu nhân viên có thể biết.
- Bật thông báo "Join before host" hoặc tắt "Join before host" nếu muốn không ai vào phòng trước host.
- Lưu bản ghi Zoom đúng cách. Cảnh giác: lưu trên cloud có thể bị xâm nhập. Tốt hơn tự mã hóa file trên hệ thống và lưu theo cách ưa thích.
- Giữ máy tính sạch và tối ưu hiệu suất. Công cụ sửa chữa PC đáng tin cậy chẩn đoán Windows, dọn tệp rác, xác định vấn đề tốc độ và ổn định.
Kết Luận
Lỗ hổng Zoom mới phát hiện đưa cuộc họp kinh doanh vào rủi ro: gián đoạn hội nghị, chiếm điều khiển màn hình, giả mạo tin nhắn, kick người tham gia.
Zoom xử lý nhanh: vá server và phát hành cập nhật cho app Windows, Mac, Linux.
Bạn có bị ảnh hưởng bởi bug Zoom này? Chia sẻ trải nghiệm!