Notice: Trying to get property 'display_name' of non-object in /var/www/vhosts/sen360.sn/news.sen360.sn/wp-content/plugins/wordpress-seo/src/generators/schema/article.php on line 52

Zoom : un chercheur en sécurité découvre plusieurs failles dans le processus de mise à  jour automatique

Par , publié le .

Technologie

Plusieurs failles de sécurité découverte dans Zoom. Via le processus de mise à  jour automatique, des hackers peuvent récupérer le contrôle de la machine de la victime.

Plusieurs failles de sécurité découverte dans Zoom. Via le processus de mise à  jour automatique, des hackers peuvent récupérer le contrôle de la machine de la victime.

L’option de mise à  jour automatique de Zoom aide les utilisateurs à  s’assurer qu’ils disposent toujours de la dernière version en date du logiciel de vidéoconférence, lequel a souffert d’un certain nombre de soucis de confidentialité et de sécurité ces dernières années. Un spécialiste de la sécurité sur Mac a découvert plusieurs failles dans l’outil de mise à  jour automatique qui aurait permis à  des personnes malintentionnées d’obtenir le contrôle total de la machine de leur victime.

Patrick Wardle a présenté ses découvertes durant la conférence DefCon de cette année. Selon Wired, deux d’entre elles ont été dévoilées. La première a été trouvée dans le processus de vérification de la signature de l’app, qui permet de s’assurer de l’intégrité de la mise à  jour à  installer pour s’assurer que cette dernière est totalement légitime. Cela permet d’éviter qu’un attaquant vienne faire croire à  l’installeur qu’il peut installer n’importe quoi.

Patrick Wardle a découvert que des hackers pouvaient contourner la vérification de signature en nommant d’une certaine manière leurs fichiers. Une fois à  l’intérieur, ils peuvent obtenir l’accès root et contrôler la machine de leur victime. The Verge explique que le chercheur a communiqué l’existence de cette faille à  Zoom en décembre 2021, mais le correctif contenait une autre faille. La seconde vulnérabilité aurait pu donner aux hackers un moyen de contourner le garde-fou mis en place par Zoom pour s’assurer que le processus de mise à  jour vient bien installer la dernière version en date de l’app. Patrick Wardle a découvert qu’il était possible de duper un outil facilitant la distribution de la mise à  jour de Zoom pour lui faire accepter une version plus ancienne du logiciel.

Zoom a déjà  corrigé cette faille aussi, mais l’expert a trouvé une autre vulnérabilité, présentée, elle aussi, durant la conférence. un moment donné, entre la vérification du package par l’auto-installeur et le processus d’installation en lui-même, il est possible d’injecter du code malveillant dans la mise à  jour. Un package téléchargé qui doit être installé peut apparemment retenir ses permissions de lecture/écriture originales, permettant à  quiconque de les modifier. Cela signifie que même des utilisateurs sans accès root peuvent échanger le contenu avec du code malveillant et prendre le contrôle de la machine cible.

L’entreprise a déclaré à  The Verge qu’elle travaillait sur un correctif pour cette nouvelle vulnérabilité mise au jour par l’expert. Comme Wired le précise, les attaquants doivent déjà  disposer d’un accès à  la machine de l’utilisateur pour pouvoir exploiter ces failles. Même s’il n’y a pas de danger immédiat pour la majorité des utilisateurs, Zoom recommande de toujours «rester à  jour avec la dernière version en date» de l’app. Cela permet notamment de profiter du chiffrement de bout en bout.

O commentaire

Laisser un commentaire

Votre email ne sera pas publié. Champ obligatoire (*)