正文

Zoom Client 输入验证错误漏洞

admin
admin V管理员 /0 评论 /14 阅读
0423
此篇文章发布距今已超过1148天，您需要注意文章的内容或图片是否可用！

CVE编号

CVE-2019-13567

利用情况

暂无

补丁情况

N/A

披露时间

2019-07-12
漏洞描述
macOS上4.4.53932.0709之前的Zoom客户端允许远程代码执行，这与CVE-2019-13450不同。如果ZoomOpener守护程序（也称为隐藏的web服务器）正在运行，但Zoom客户端未安装或无法打开，则攻击者可以使用恶意构建的启动URL远程执行代码。注意：如果启用了ZoomOpener，并且该工具具有2019-07-10 MRT配置数据，则该工具将被Apple恶意软件删除工具（MRT）删除。
解决建议
建议您更新当前系统或软件至最新版，完成漏洞的修复。
参考链接
https://gist.github.com/wbowling/13f9f90365c171806b9ffba2c841026b
https://support.zoom.us/hc/en-us/articles/201361963-New-Updates-for-Mac-OS
https://twitter.com/JLLeitschuh/status/1149420685405708295
https://twitter.com/JLLeitschuh/status/1149422543658520578
https://twitter.com/riskybusiness/status/1149125147019767814
https://twitter.com/wcbowling/status/1149457231504498689
https://twitter.com/wcbowling/status/1166998107667619841
受影响软件情况
# 类型 厂商 产品 版本 影响面
1
运行在以下环境
应用 zoom zoom * Up to
(excluding)
4.4.53932.0709
CVSS3评分 8.8
  • 攻击路径 网络
  • 攻击复杂度 低
  • 权限要求 无
  • 影响范围 未更改
  • 用户交互 需要
  • 可用性 高
  • 保密性 高
  • 完整性 高
CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H CWE-ID 漏洞类型 CWE-78 OS命令中使用的特殊元素转义处理不恰当（OS命令注入）