ZoomクライアントにおけるSMBのトラスト境界の実装不備 [2023年4月7日更新]

  • ZSB-23005
  • CVE-2023-28597
  • 高い
  • 8.3
  • CVSS:3.1/AV:A/AC:H/PR:N/UI:N/S:C/C:H/I:H/A:H

バージョン5.13.5以前のZoomクライアントには、信頼境界の実装に不備がある脆弱性が存在します。被害者がローカルに保存した録画ファイルをSMBの保存先に保存し、後でZoomのWebポータルからのリンクを使用してそのファイルを開いた場合、被害者のクライアントに隣接するネットワーク上にいる攻撃者が、クライアントからのリクエストに応答する悪意のあるSMBサーバーを立ち上げることで、クライアントに攻撃者が制御する実行ファイルを実行させてしまう可能性があります。これにより、攻撃者がユーザーのデバイスやデータにアクセスしたり、リモートでコードを実行したりする可能性があるためです。

ユーザーは、最新の更新プログラムを適用するか、https://zoom.us/download から、すべての最新のセキュリティ更新プログラムが組み込まれた最新の Zoom ソフトウェアをダウンロードすることで、自身のセキュリティを確保することができます。

*変更点 - 2023年4月7日 - 「対象製品」の項目からAndroidおよびiOSを削除しました

Zoom Offensive Security Teamによる報告

Revision 日付 説明
1.1 04/07/2023

「対象製品」からAndroidおよびiOSを削除しました
1.0 03/14/2023

初版