Serverseitige Anfragefälschung im Chat des Zoom-Clients für Meetings

  • ZSB-21021
  • CVE-2021-34425
  • Mittel
  • 4.7
  • CVSS:3.1/AV:N/AC:H/PR:N/UI:R/S:C/C:L/I:L/A:N

Der Zoom-Client für Meetings vor Version 5.7.3 (für Android, iOS, Linux, macOS und Windows) weist eine Sicherheitslücke im Zusammenhang mit Server-Side Request Forgery (SSRF) in der Funktion „Link-Vorschau“ des Chats auf. In Versionen vor 5.7.3 konnte ein Angreifer, falls ein Benutzer die Funktion „Link-Vorschau“ im Chat aktivierte, den Benutzer dazu verleiten, möglicherweise beliebige HTTP-GET-Anfragen an URLs zu senden, auf die der Angreifer nicht direkt zugreifen kann.

Nutzer können selbst zur Sicherheit beitragen, indem sie aktuelle Updates installieren oder die neueste Zoom-Software mit allen aktuellen Sicherheitsupdates unter https://zoom.us/download herunterladen.

Berichtet von Johnny Yu von Walmart Global Tech

Revision Datum Beschreibung
1.0 12/14/2021

Erstveröffentlichung