Une vulnérabilité liée à la manière dont le programme d’installation de Zoom sous Windows gère les jonctions lors de la suppression de fichiers pourrait permettre à un utilisateur Windows local de supprimer des fichiers qu’il ne serait normalement pas en mesure de supprimer.
Cette vulnérabilité est due à une vérification insuffisante de la présence de liens symboliques dans le répertoire à partir duquel le programme d’installation supprime des fichiers, répertoire sur lequel les utilisateurs standard disposent d’un accès en écriture. Un utilisateur local malveillant pourrait exploiter cette vulnérabilité en créant, dans le répertoire concerné, un lien symbolique pointant vers des fichiers système protégés ou d’autres fichiers pour lesquels il ne dispose pas des autorisations nécessaires. Lorsque le programme d’installation de Zoom pour Windows est exécuté avec des droits d’accès élevés, comme c’est le cas lorsqu’il est lancé via un logiciel de déploiement géré, ces fichiers seraient supprimés du système.
Zoom a corrigé ce problème dans la version 4.6.10 communiqué de presse du client. Les utilisateurs peuvent contribuer à leur propre sécurité en installant les mises à jour disponibles ou en téléchargeant la dernière version du logiciel Zoom, qui intègre toutes les mises à jour de sécurité actuelles, à l’adresse https://zoom.us/download.
Nous remercions la « Red Team » de Lockheed Martin.
| Revision | Date | Description |
|---|---|---|
| 1.0 | 05/04/2020 | Première publication |
