Zoom Client for Meetings 中不正確的 XML 剖析

  • ZSB-22006
  • CVE-2022-22784
  • 高
  • 8.1
  • CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:N

5.10.0 版之前的 (Android、iOS、Linux、macOS 和 Windows 版) Zoom Client for Meetings 無法正確剖析 XMPP 訊息中的 XML 句段。這會讓惡意使用者能破壞目前的 XMPP 訊息內容並建立新的訊息內容，讓接收使用者的用戶端執行各種操作。此問題可用於更複雜的攻擊，從伺服器偽造 XMPP 訊息。

 

使用者可以透過套用目前更新或從 https://zoom.us/zh-tw/download 下載包含所有當前安全更新的最新 Zoom 軟體來確保自身安全。

由 Google Project Zero 的 Ivan Fratric 舉報

Revision 日期 說明
1.0 05/17/2022

首次出版