Webポータルを経由したオンプレミスイメージに対するリモートコード実行

  • ZSB-21012
  • CVE-2021-34416
  • ミディアム
  • 5.5
  • CVSS:3.0/AV:N/AC:L/PR:H/UI:N/S:C/C:L/I:L/A:N

バージョン 4.6.360.20210325 以前の Zoom オンプレミス版 Meeting Connector 用のネットワークアドレス管理設定 Web ポータルは、バージョン 4.6.360.20210325 以前の Zoom オンプレミス版 Meeting Connector MMR では、バージョン 3.8.44.20210326 以前の Zoom オンプレミス録画コネクタ、バージョン 4.4.6752.20210326 以前の Zoom オンプレミス版 Virtual Room Connector、また、バージョン 2.5.5495.20210326 以前の Zoom オンプレミス版 Virtual Room Connector ロードバランサーでは、ネットワーク構成を更新するためのリクエストで送信された入力の検証が行われないため、Web ポータル管理者がオンプレミス版イメージに対してリモートコマンドインジェクションを行う可能性が生じます。

Positive Technologiesのエゴール・ディミトレンコ氏による報告

Revision Date Description
1.0 09/30/2021

初版