พบช่องโหว่ใน Zoom ที่รันบน MacOS แฮกคุมสิทธิ์ผู้ใช้งานระดับสูง

นักวิจัยด้านความปลอดภัยทางไซเบอร์ได้ค้นพบวิธีที่แฮกเกอร์สามารถใช้ Zoom เวอร์ชันสำหรับ macOS เพื่อเข้าถึงระบบปฏิบัติการทั้งหมดได้

รายละเอียดของช่องโหว่ได้รับการเปิดเผยในการนำเสนอโดย แพทริก วอร์เดิล (Patrick Wardle) ผู้เชี่ยวชาญด้านความปลอดภัยของ Mac ในการประชุมป้องกันการแฮ็ก (Def Con hacking conference) ที่จัดขึ้นในลาสเวกัส (Las Vegas)

ซึ่งความข้อบกพร่องบางส่วนได้รับการแก้ไขโดย Zoom แล้ว แต่ผู้วิจัยยังได้นำเสนอช่องโหว่ที่ยังไม่ได้รับการแก้ไขซึ่งยังคงส่งผลกระทบต่อระบบในขณะนี้

ช่องโหว่นี้ทำงานโดยกำหนดเป้าหมายไปที่โปรแกรมติดตั้งสำหรับแอปพลิเคชัน Zoom ซึ่งจำเป็นต้องเรียกใช้ด้วยการอนุญาตพิเศษของผู้ใช้เพื่อทำการติดตั้งหรือถอนแอปพลิเคชัน Zoom จากคอมพิวเตอร์ แม้ว่า Zoom จะกำหนดให้ผู้ใช้ต้องป้อนรหัสผ่านเพื่อการใช้งานในครั้งแรก แต่ วอร์เดิล พบว่า ฟังก์ชันอัปเดตอัตโนมัตินั้นทำงานอย่างต่อเนื่องเป็นพื้นหลังอยู่ตลอดเวลา พร้อมสิทธิ์ผู้ใช้งาน "ระดับสูง"

เนื้อหาที่เกี่ยวข้อง :

• Snapchat เตรียมเปิดเวอร์ชั่นเว็บบนคอมพิวเตอร์ กลายเป็นคู่แข่งใหม่ Zoom
• เช้านี้ Microsoft Teams ระบบล่ม ตอนนี้เริ่มทะยอยกลับมาใช้ได้ตามปกติ
• DITP ชวนสัมมนาออนไลน์ สร้างศักยภาพผู้ประกอบการไทยเปิดโลกใหม่ทางการค้า

เมื่อ Zoom ออกการอัปเดต ฟังก์ชันตัวอัปเดตจะได้รับการติดตั้งใหม่อัตโนมัติหลังจากตรวจสอบว่าตัวอัปเดตดังกล่าวถูกเข้ารหัสโดย Zoom ซึ่งนั่นหมายถึงการให้ไฟล์ใด ๆ ที่มีชื่อเดียวกับใบรับรองการลงนามของ Zoom ก็เพียงพอที่จะผ่านการทดสอบ

ดังนั้นแฮกเกอร์จึงสามารถโจมตีด้วยการแทนที่โปรแกรมมัลแวร์ชนิดใดก็ได้ และให้โปรแกรมอัปเดตของ Zoom ทำงานโดยอัตโนมัติ

ผลที่ได้คือการโจมตีแบบผู้ใช้งานระดับสูงที่มีการยกระดับสิทธิ์ ถือว่าแฮกเกอร์ได้เข้าถึงระบบเป้าหมายในเบื้องต้นแล้ว จากนั้นจึงใช้ช่องโหว่เพื่อเข้าถึงระดับที่สูงขึ้น

ในกรณีนี้ ผู้โจมตีเริ่มต้นด้วยบัญชีผู้ใช้ที่จำกัด แต่ขยายไปสู่ประเภทผู้ใช้ที่ทรงพลังที่สุด เรียกว่า "ผู้ใช้ระดับสูง" หรือ "รูท" ทำให้พวกเขาสามารถเพิ่ม ลบ หรือแก้ไขไฟล์ใดๆ บนเครื่องก็ได้

แพทริก วอร์เดิล เป็นผู้ก่อตั้งมูลนิธิ Objective-See ซึ่งเป็นองค์กรไม่แสวงหาผลกำไรที่สร้างเครื่องมือรักษาความปลอดภัยแบบโอเพนซอร์สสำหรับ macOS

ก่อนหน้านี้ ในการประชุมด้านความปลอดภัยทางไซเบอร์ของ Black Hat ซึ่งจัดขึ้นในสัปดาห์เดียวกับ Def Con วอร์เดิล ได้ให้รายละเอียดเกี่ยวกับการใช้อัลกอริธึมที่ไม่ได้รับอนุญาตซึ่งถูกยกขึ้นจากซอฟต์แวร์รักษาความปลอดภัยโอเพนซอร์สของเขาโดยบริษัทที่แสวงหาผลกำไร

ตามโปรโตคอลการเปิดเผยข้อมูลอย่างรับผิดชอบ วอร์เดิล ได้แจ้ง Zoom เกี่ยวกับช่องโหว่ในเดือนธันวาคมปีที่แล้ว แต่การแก้ไขเบื้องต้นจาก Zoom ยังคงมีข้อบกพร่องอีกประการหนึ่ง ซึ่งหมายความว่าช่องโหว่นั้นยังคงเป็นอันตรายต่อผู้ใช้งานคอมพิวเตอร์ทั่วไป ดังนั้นเขาจึงเปิดเผยจุดบกพร่องที่สองนี้ให้ Zoom และรอแปดเดือนก่อนที่จะเผยแพร่งานวิจัย

"สำหรับผมนั่นค่อนข้างจะมีปัญหา เพราะไม่เพียงแต่ได้รายงานจุดบกพร่องไปยัง Zoom เท่านั้น ผมยังรายงานข้อผิดพลาดและวิธีแก้ไขโค้ดด้วย ซึ่งมันน่าหงุดหงิดจริง ๆ ที่ต้องรอ 6 เดือนก็แล้ว 7 เดือนก็แล้ว นี่รอมา 8 เดือนแล้ว และรู้ว่า Zoom เวอร์ชัน MacOS ยังมีช่องโหว่นี้อยู่" วอร์เดิล กล่าว

ไม่กี่สัปดาห์ก่อนงาน Def Con วอร์เดิล ออกมาเผยว่า Zoom ได้ออกโปรแกรมแก้ไขที่แก้ไขข้อผิดพลาดที่เขาค้นพบในตอนแรก แต่เมื่อวิเคราะห์ให้ละเอียดยิ่งขึ้น ข้อผิดพลาดเล็ก ๆ อีกประการหนึ่งหมายความว่าจุดบกพร่องยังคงสามารถใช้ประโยชน์ได้

ในเวอร์ชันใหม่ของตัวติดตั้งการอัปเดต แพ็กเกจที่จะติดตั้งจะถูกย้ายไปยังไดเร็กทอรีที่เป็นของผู้ใช้ "รูท" ก่อน โดยทั่วไปหมายความว่าไม่มีผู้ใช้ที่ไม่มีสิทธิ์รูทสามารถเพิ่ม ลบ หรือแก้ไขไฟล์ในไดเร็กทอรีนี้ได้ แต่เนื่องจากความละเอียดอ่อนของระบบ Unix (ซึ่ง macOS เป็นหนึ่งเดียว) เมื่อไฟล์ที่มีอยู่ถูกย้ายจากตำแหน่งอื่นไปยังไดเร็กทอรีรูท ไฟล์จะยังคงมีสิทธิ์ในการอ่าน-เขียนเหมือนเดิม

ดังนั้น ในกรณีนี้ ผู้ใช้ทั่วไปยังคงสามารถแก้ไขได้ และเนื่องจากสามารถแก้ไขได้ ผู้ใช้ที่ประสงค์ร้ายจึงยังสามารถสลับเนื้อหาของไฟล์นั้นกับไฟล์ที่พวกเขาเลือกเองและใช้เป็นรูทได้

ในขณะที่บั๊กนี้เผยแพร่อยู่ใน Zoom แต่ วอร์เดิล ระบุว่า มันแก้ไขได้ง่ายมาก และเขาหวังว่าการพูดถึงเรื่องนี้ในที่สาธารณะจะ "ทำให้ล้อรถเปื้อนไขมัน" เพื่อให้บริษัทจัดการได้เร็วกว่านี้

ทางด้าน Zoom ส่ง แมตต์ เนเจล (Matt Nagel) หัวหน้าฝ่ายประชาสัมพันธ์ด้านความปลอดภัยทางไซเบอร์และความเป็นส่วนตัวของบริษัท ออกมาแถลงการณ์ว่า "เราทราบถึงช่องโหว่ที่เพิ่งรายงานในโปรแกรมอัปเดตอัตโนมัติของ Zoom สำหรับ macOS และกำลังทำงานอย่างขยันขันแข็งเพื่อแก้ไข"