Un problème récemment découvert dans la fonction de partage d’écran de Zoom peut accidentellement divulguer des informations sensibles à d’autres participants à un appel, selon les dernières découvertes.
Suivi comme CVE-2021-28133, la vulnérabilité de sécurité non corrigée permet de révéler le contenu des applications qui ne sont pas partagées, mais seulement brièvement, ce qui rend plus difficile son exploitation dans la nature.
Il convient de souligner que le partage d’écran La fonctionnalité de Zoom permet aux utilisateurs de partager l’intégralité d’un écran de bureau ou de téléphone ou de limiter le partage à une ou plusieurs applications spécifiques ou à une partie d’un écran. Le problème vient du fait qu’une deuxième application superposée sur une application déjà partagée peut révéler son contenu pendant une courte période.
« Lorsqu’un utilisateur de Zoom partage une fenêtre d’application spécifique via la fonctionnalité ‘écran de partage’, les autres participants à la réunion peuvent voir brièvement le contenu d’autres fenêtres d’application qui n’ont pas été explicitement partagés, » Michael Strametz et Matthias Deeg, chercheurs de SySS c’est noté. « Le contenu des fenêtres d’application non partagées peut, par exemple, être vu pendant une courte période par d’autres utilisateurs lorsque ces fenêtres superposent la fenêtre d’application partagée et se focalisent. »
La faille, qui a été testée sur les versions 5.4.3 et 5.5.4 sur les clients Windows et Linux, aurait été divulgué à la société de visioconférence le 2 décembre 2020. L’absence de correctif même après trois mois pourrait être attribuée en partie à la difficulté d’exploiter la vulnérabilité.
Mais néanmoins, cela pourrait avoir de graves conséquences en fonction de la nature des données partagées par inadvertance, ont averti les chercheurs, l’ajout d’un participant malveillant à une réunion Zoom peut profiter de la faiblesse en utilisant un outil de capture d’écran pour enregistrer la réunion et la lecture. l’enregistrement pour afficher les informations privées.
Nous avons contacté Zoom pour plus de détails sur le correctif, et nous mettrons à jour l’histoire si nous avons de nouvelles.
