Zoom Client for Meetings < 5.6.3 弱點 (ZSB-21002)
high Nessus Plugin ID 168816
語系：
概要
遠端主機上安裝的一個應用程式受到弱點影響。說明
遠端主機上安裝的 Zoom Client for Meetings 版本比 5.6.3 舊。因此，會受到 ZSB-21002 公告中所提及的一個弱點影響。- 5.6.3 版之前的所有 Zoom Client for Meetings 電腦版都存在堆積型緩衝區溢位。此發現已作為溫哥華 2021 Pwn20wn 的一部分報告給 Zoom。Pwn20wn 期間示範的攻擊鏈已於 2021 年 4 月 9 日在 Zoom 基礎結構的伺服器端變更中得到緩解。
結合 Pwn20wn 期間報告的其他兩個問題 (傳送 XMPP 訊息以存取 Zoom Marketplace 應用程式 URL 時發生不當的 URL 驗證，以及顯示 GIPHY 影像時發生的錯誤 URL 驗證)，惡意使用者可在目標的電腦上執行遠端程式碼。目標必須先前已接受來自惡意使用者的連線要求，或處於與惡意使用者的多使用者聊天中，此攻擊才能成功。Pwn20wn 中示範的攻擊鏈對於目標而言高度可見，進而造成發生多個用戶端通知。使用者可套用最新版更新，或從 https://zoom.us/download 下載有全部最新安全性更新的最新版 Zoom 軟體，以確保安全。(CVE-2021-30480)
請注意，Nessus 並未測試此問題，而是僅依據應用程式自我報告的版本號碼作出判斷。
解決方案
升級版本至 Zoom Client for Meetings 5.6.3 或更新版本。另請參閱
Plugin 詳細資訊
嚴重性: High
ID: 168816
檔案名稱: zoom_client_ZSB-21002.nasl
版本: 1.4
類型: local
代理程式: windows, macosx, unix
系列: Misc.
已發布: 2022/12/15
已更新: 2023/9/15
支援的感應器: Nessus Agent, Nessus
風險資訊
VPR
風險因素: Medium
分數: 6.7
CVSS v2
風險因素: High
基本分數: 9
時間分數: 7
媒介: CVSS2#AV:N/AC:L/Au:S/C:C/I:C/A:C
CVSS 評分資料來源: CVE-2021-30480
CVSS v3
風險因素: High
基本分數: 8.8
時間分數: 7.9
媒介: CVSS:3.0/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
時間媒介: CVSS:3.0/E:P/RL:O/RC:C
弱點資訊
CPE: cpe:/a:zoom:zoom, cpe:/a:zoom:meetings
可被惡意程式利用: true
可輕鬆利用: Exploits are available
修補程式發佈日期: 2021/8/13
弱點發布日期: 2021/8/13
參考資訊
CVE: CVE-2021-30480