通过 Web 门户网络代理配置对会议连接器服务器执行远程代码

  • ZSB-21010
  • CVE-2021-34414
  • 中
  • 7.2
  • CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:H

低于 4.6.348.20201217 版本的 Zoom 本地会议连接器控制器、低于 4.6.348.20201217 版本的 Zoom 本地会议连接器 MMR、低于 3.8.42.20200905 版本的 Zoom 本地录制连接器、低于 4.4.6620.20201110 版本的 Zoom 本地虚拟会议室连接器以及低于 2.5.5495.20210326 版本的 Zoom 本地虚拟会议室连接器负载均衡器的 Web 门户上的网络代理页面，无法验证请求中是否已发送用于更新网络代理配置的输入信息，这可能会造成 Web 门户管理员对本地映像注入远程命令。

报告者：Positive Technologies 的 Egor Dimitrenko

Revision Date Description
1.0 09/30/2021

首次出版