Webポータルのネットワークプロキシ設定を介した、Meeting Connectorサーバーに対するリモートコード実行

  • ZSB-21010
  • CVE-2021-34414
  • ミディアム
  • 7.2
  • CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:H

バージョン 4.6.348.20201217 以前の Zoom オンプレミス版 Meeting Connector Controller の Web ポータルにあるネットワークプロキシページでは、バージョン 4.6.348.20201217 以前の Zoom オンプレミス版 Meeting Connector MMR では、バージョン 3.8.42.20200905 以前の Zoom オンプレミス録画コネクタ、バージョン 4.4.6620.20201110 以前の Zoom オンプレミス版 Virtual Room Connector、また、バージョン 2.5.5495.20210326 以前の Zoom オンプレミス版 Virtual Room Connector ロードバランサーでは、ネットワークプロキシ設定の更新リクエストで送信された入力の検証が行われないため、Web ポータル管理者がオンプレミス版イメージに対してリモートコマンドインジェクションを行う可能性が生じます。

Positive Technologiesのエゴール・ディミトレンコ氏による報告

Revision Date Description
1.0 09/30/2021

初版